inspiratie informatieveiligheid

inspiratie informatieveiligheid

inspiratie informatieveiligheid

Een essaybundel voor bestuurders en topmanagers

Voor overheid, bedrijfsleven en wetenschap

Gericht op inspiratie, innovatie en een blijvende dialoog

Op het vlak van informatieveiligheid

www.taskforcebid.nl

Inspiratiebundel_Taskforce_Omslag.indd 1

10-10-14 10:34

Deze bundel Informatieveiligheid wordt u ter inspiratie aangeboden door: Gert-Jan Buitendijk, directeur-generaal Bestuur en Koninkrijksrelaties, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) Henk Wesseling, bestuurlijk hoofd, Taskforce BID

inhoud

Voorwoord

5

Inleiding

9

Deel 1: Agendering van informatieveiligheid

1. Tussen bestuurlijke naïviteit en informatieveiligheidsutopie (Marcel Thaens en Stavros Zouridis)

veiligheid wisselt sterk. We kunnen veel van elkaar leren.” José Lazeroms, lid Raad van Bestuur UWV

23



2. ICT: komende kansen en uitdagingen voor de overheid (Bert Mulder)

37



3. Open technologie als voorwaarde voor vertrouwen (Marleen Stikker)

47



4. Privacy, informatieveiligheid en een onzichtbare medaille (Bert-Jaap Koops)

57



5. Informatieveiligheid en ondermijnende criminaliteit (Pieter Tops)

75



6. Framing informatieveiligheid. Over slachtoffers, schurken en helden (Hans de Bruijn)

“Het kennisniveau van informatie-

21

89

Deel 2: Samenwerken en verbinden

103



7. Elegant falen in het tijdperk van feodale veiligheid (Michel van Eeten)

105



8. Uitdagingen en toekomstbestendig ingrijpen (Corien Prins)

117



9. Strakke schakels, kwetsbare ketens: naar uitgebalanceerde samenwerking rond informatieveiligheid (Mark van Twist en Martijn van der Steen)



10. ICT en burger empowerment – een pleidooi voor digitale autonomie (Geert Munnichs, Linda Kool en Frans Brom)

Deel 3: Verdieping van het organisatieleren

135 159

171

11. Informatieveiligheid: aandacht voor de dagelijkse dingen die er écht toe doen (Arno Nuijten en Mark van Twist)

173



12. Het hachelijk leren inzake informatieveiligheid (Roel in ’t Veld)

199



13. Leren voor de bühne, of voor de goede zaak? (Ira Helsloot)

215



14. Sensitiviteit voor informatieveiligheid (Katrien Termeer)

233

Deel 4: Tot besluit

247

15. Hoe blijft het sturen op informatieveiligheid vitaal? (Douwe Leguit, Eric Warners en Henk Wesseling)

249

3

oktober

2014

voorwoord

Oktober 2014 Met plezier bied ik u deze essaybundel over informatieveiligheid aan. Geen bundel over techniek, maar over wat er komt kijken bij de inrichting van de digitale samenleving. Het gaat over hoe we de optimale digitale dienstverlening kunnen bieden, daarbij bewust van de risico’s die we lopen. Informatieveiligheid wordt vaak benaderd als een slot op de deur; als het nemen van maatregelen om de vereiste beschikbaarheid, deugdelijkheid en vertrouwelijkheid van informatie te waarborgen. Voorop staat daarbij het uitgangspunt dat organisaties zelf verantwoordelijk zijn om die informatieveiligheid te waarborgen. Dat uitgangspunt is goed en belangrijk, fundamenteel zelfs, maar deze bundel strekt verder. Uit de bundel blijkt hoe belangrijk het is dat we ook de dialoog aangaan, met elkaar en met de samenleving over belangrijke ontwikkelingen die ‘de agenda’ van informatieveiligheid zullen bepalen. Hoe gaan we bijvoorbeeld om met het thema ‘Smart City’, of met Big Data? De dienstverlening van overheden zal zich ingrijpend ontwikkelen. Hoe houden we deze belangrijke ontwikkelingen ‘informatieveilig’? Hoe gaan we dan om met belangrijke partijen als leveranciers, maar ook hoe gaan we hierover het gesprek aan met burgers, die als eerste belang hebben bij een informatieveilige dienstverlening? Samenwerking, zo blijkt uit de bundel, is voor die informatieveilige ontwikkeling en voor die dialoog wezenlijk, want de ingrijpende digitalisering raakt alle overheidslagen. Samenwerking is echter niet op voorhand succesvol en de bundel geeft belangrijke inzichten in hoe die samenwerking zinvol aan te gaan en welke risico’s als bestuurlijke drukte altijd op de loer liggen. Informatieveiligheid is uiteindelijk een kwestie van gedrag, van leren omgaan met digitalisering. Maar net als ‘samenwerken’ is ook ‘leren’ een snel en gemakkelijk gebruikt woord. Uit de bundel blijkt bijvoorbeeld dat leren in organisaties regels én ruimte vraagt, dat een goed besef van risico’s belangrijk is en dat we onszelf scherp moeten houden, ook als geen belangrijke incidenten optreden. Er blijkt uit hoe mensen soms heel anders reageren dan op het eerste gezicht gedacht, maar ook hier geeft de bundel belangrijke inzichten hoe dan wel op dat gedrag in te spelen. Vooral blijkt dat dat leren alleen vorm kan krijgen in interactie, in de dialoog van de verschillende partijen met elkaar. Deze bundel nodigt uit tot discussie over de invloed van informatietechnologie op ons handelen als overheidsbestuurders met als invalshoek de veiligheid. De risico’s over wat verkeerd kan gaan in de samenleving als we niet bewust sturen, komen aan bod, maar ook hoe we die risico’s tegemoet moeten treden. Veiligheidsproblematiek eist nu eenmaal geen ad-hoc-aandacht of alleen crisisbestendigheid, maar behoeft vernieuwing in ons denken over de digitale aanpak en het delen van oplossingen daarin. De afgelopen jaren is daar met steun van de Taskforce BID binnen de verschillende overheidslagen veel in gerealiseerd en daar ben ik zeer tevreden over. De toekomst zal nog veel eisen. Deze essaybundel reikt ons daarvoor inzichten aan. Soms vanuit tegendraadse standpunten, maar altijd prikkelend. Na lezing weet u niet gelijk ‘hoe het moet’. Ik hoop wel dat u zich gevoed voelt voor een dialoog en voor het aanscherpen van uw eigen perspectief op de thematiek, maar u bovendien gesterkt weet om het onverwachte tegemoet te treden. Gert-Jan Buitendijk Directeur-generaal Bestuur en Koninkrijksrelaties, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK)

7

Basics van Verplichtende Zelfregulering

inleiding

inleiding

Basics van Verplichtende Zelfregulering

“Zo’n DigiDassessment doen we niet voor niets. Dat mag best een spiegel zijn. Het maakt de gemeente bewuster en scherper.” Bert Blase, Waarnemend burgemeester Vlaardingen

De Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID) heeft in samenwerking met de koepelorganisaties, het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (ministerie van BZK) en kennispartners de afgelopen twee jaar gewerkt aan het op de bestuurlijke agenda krijgen en houden van het onderwerp informatieveiligheid. Om dit doel te bereiken is aan het agenderen van informatieveiligheid, het samenwerken en het (organisatie) leren in samenhang invulling gegeven. Belangrijk uitgangspunt is daarbij geweest dat overheden zelf de verantwoordelijkheid dragen voor informatieveiligheid. Hiertoe zijn onder meer baselines vastgesteld, bestaat er interbestuurlijke afstemming over normatiek en zijn implementatie-programma’s opgestart. Om die verantwoordelijkheid volledig in te kunnen vullen, dient echter op koepel- en stelselniveau ook het onderwerp geagendeerd te worden, dient de samenwerking tot stand te komen rondom vraagstukken als toezicht en ketens, en dient ruimte te bestaan om (van elkaar) te kunnen leren. Dit is benoemd als Verplichtende Zelfregulering. De koepelorganisaties hebben met de ondersteuning van de Taskforce BID in de afgelopen periode de basics van Verplichtende Zelfregulering weten neer te zetten. Ervaring leert dat de basics van Verplichtende Zelfregulering en organisatieleren voortdurend verdieping vragen om vitaal te blijven. In de afsluitende reflectie van deze inspiratiebundel komt dit dieper aan de orde. Zonder een dergelijke verdieping, is het risico dat de resultaten vervlakken en de bestuurlijke aandacht weer verslapt tot het volgende incident. Het doel van de inspiratiebundel is om aan deze verdieping verder inhoud te geven. Enkele vooraanstaande deskundigen is gevraagd om hiervoor een bijdrage te leveren. De bijdragen van deze auteurs zijn in deze bundel geordend langs drie lijnen: Agenderen (deel 1), Samenwerken (deel 2) en Organisatieleren (deel 3). Om de verdiepingen in het juiste perspectief te plaatsen, worden in dit inleidende hoofdstuk eerst preciezer de reeds bereikte basics van Verplichtende Zelfregulering geschetst, waarna vervolgens de essentie van de vraagstukken waarmee de auteurs aan het werk zijn gegaan, wordt benoemd. Deel 1: Agendering van informatieveiligheid De Taskforce BID heeft informatieveiligheid altijd benaderd als een dienstverleningsvraagstuk. De definitie die daarbij gehanteerd is, is ‘de bescherming van informatie en informatiestromen tegen bedreigingen die de continuïteit van de dienstverlening kunnen verstoren, schade kunnen veroorzaken en de goede werking kunnen hinderen1. De ervaring leert dat een veiligheidsvraagstuk in brede zin lastig is om op de agenda te houden. Terwijl ontwikkelingen als Digitale Overheid 2017, de Drie Decentralisaties (gemeenten) en ook de voortgaande technologisering onder termen als Big Data en Smart Cities, juist wel hierom vragen. Het eerste deel van de bundel is een verdieping van dit agenderingsvraagstuk.

11

Het informatieveiligheidsvraagstuk zien als dienstverleningsvraagstuk is overigens geen nieuw

Deel 1 gaat in op de vraag welke inhoudelijke vraagstukken relevant zijn voor het bestuurlijk

perspectief. Even terug in de tijd… Op 12 februari 1929 woedde er een grote brand in het

agenderen van informatieveiligheid. Daarnaast worden door verschillende auteurs suggesties

stadhuis van Leiden. Zoals de burgemeester het destijds verwoordde: ‘van alles wat op papier

gedaan voor de wijze waarop het onderwerp informatieveiligheid ook de komende jaren op de

bewaard werd, is geen stukje gered’. Geboorteaktes, trouwaktes, sofinummers, strafrechtelijke

bestuurlijke agenda kan worden behouden.

dossiers, alles was verwoest. Veel mensen waren door deze brand niet meer geregistreerd in het volksregister en sommigen meenden zelfs niet meer getrouwd te zijn2.

Marcel Thaens en Stavros Zouridis verdiepen hiertoe eerst de betekenis van informatieveiligheid specifiek vanuit het perspectief overheidsdienstverlening, waarbij zij ingaan op de ba-

Het besef dat informatie(veiligheid) essentieel is voor het functioneren van de overheid, is

lans tussen dienstverlening enerzijds en informatieveiligheid anderzijds. Welke aspecten kun-

sinds 1929 wel steeds prominenter zichtbaar. Met name dankzij de invloed van de nog steeds

nen het frame dat de Taskforce BID hanteert verder aanscherpen? Tot slot geven zij hun visie

toenemende digitalisering, verzamelt de overheid steeds meer informatie en deelt deze infor-

op hoe informatieveiligheid in het licht van Digitale Overheid 2017 het beste kan worden

matie , waar wenselijk en toegestaan, ook met anderen. Dit om haar dienstverlening effectiever

geagendeerd.

en efficiënter te maken. Met DigiNotar zijn ook de bijbehorende kwetsbaarheden van de digitalisering voor een breder publiek helder geworden.

Bert Mulder beschrijft in zijn essay dat informatieveiligheid niet alleen hier en nu een uitdaging is, maar ook morgen en de vele morgens daarna. Mulder benadert informatieveiligheid

ICT, drijfveer van vooruitgang

als relevant topic vanwege de nieuwe toepassingen zoals Big Data en Open Data. Hij voorspelt

ICT-toepassingen stellen organisaties in staat om informatie op grote schaal te verzamelen,

dat de urgentie van het onderwerp in de komende jaren daarom in sterke mate gaat toenemen.

op te slaan en uit te wisselen. Op die manier ontstaat achter deze wereld van ICT-technologie een complex netwerk van informatieopslag en een ontelbaar aantal informatiestromen.3

Marleen Stikker laat in haar essay zien dat technologisch gedreven ontwikkelingen indrin-

Deze digitalisering is gunstig voor de innovatie en daarmee een effectieve en efficiëntere

gende vragen stellen aan onze algemene wijze van omgang daarmee en aan onze normen,

dienstverlening. Volgens het Centraal Bureau voor de Statistiek (CBS) is zelfs 60% van de

waarden en vooral ook kennis over die ontwikkeling. Wat betekenen deze ontwikkelingen en

economische groei in de periode van 1985 tot 2005 gekoppeld aan ICT.

indringende vragen voor de overheid als we het zien als een educatievraagstuk waarbij alphaen gammakennis niet mag ontbreken?

Hoe serieus het risico van een verstoring van de overheidsdienstverlening tegenwoordig is, blijkt uit het aantal incidenten in de afgelopen jaren. Zo zijn er alleen al tussen 1 januari 2013

Bert-Jaap Koops kijkt vanuit het perspectief privacy naar informatieveiligheid. In zijn es-

en 11 september 2013, 39 DDoS- aanvallen geweest in Nederland (Bron: Nationaal Cyber

say beschrijft hij de verbindingen tussen informatieveiligheid en privacy, maar zet hij ook op

Security Centrum), waarvan 11 in de overheidssector. Er is nog tal van andere vormen van

scherp waar geen verbinding bestaat tussen beide invalshoeken. Op die manier geeft Koops

informatieonveiligheid waardoor de dienstverlening verstoord kan raken. Uit een studie van

aanknopingspunten om de discussie rondom privacy ook te gebruiken bij het agenderen van

de Inspectie Werk en Inkomen (IWI) in 2013 is bijvoorbeeld gebleken dat slechts vier procent

het informatieveiligheidsvraagstuk.

4

van de onderzochte gemeenten bij het gebruik van Suwinet voldoende maatregelen heeft genomen om de vertrouwelijkheid van uitgewisselde gegevens te waarborgen (rapport ‘De Burger

Pieter Tops zet uiteen waarom informatieveiligheid een vraagstuk is voor de overheid als we

bediend’ in 2013) .

het bezien vanuit het perspectief van georganiseerde criminaliteit. Op welke manier is informa-

5

tie over georganiseerde criminaliteit, maar ook informatie voor de georganiseerde criminaliteit Informatieveiligheid en 3D’s

belangrijk? Kortom, welke rol speelt informatieveiligheid in de verbinding openbaar bestuur

Ook als we vooruit kijken zien we (nieuwe) risico’s op het gebied van informatieveiligheid.

en georganiseerde criminaliteit?

Zo heeft het College Bescherming Persoonsgegevens (CBP) in het najaar van 2013 in een openbare brief gewaarschuwd voor de informatieveiligheidsrisico’s van de decentralisa-

Hans de Bruijn overziet als slot van deel 1 het agenderingsvraagstuk door ‘het ABC van

ties, de overheveling van taken naar gemeenten op het gebied van jeugdzorg, werk en

framing’ te beschouwen. In zijn essay benoemt hij mogelijkheden voor agendering van het

inkomen en zorg aan langdurig zieken en ouderen6.

onderwerp informatieveiligheid, de verbinding tussen inhoudelijke vraagstukken en kijkt hij vooruit hoe deze kennis kan helpen bij het op de agenda houden van informatieveiligheid.

12

13

Deel 2: Samenwerken en verbinden

Deel 3: Verdieping van het organisatieleren

Het tweede deel van de bundel bouwt verder op de bestuurlijke agendering van informatieveilig-

Organisatieleren is een ander kernonderdeel van Verplichtende Zelfregulering. Koepelorganisaties

heid. De kern van dit deel is te verkennen met wie, waarom en hoe aan informatieveiligheid binnen

hebben, met ondersteuning van de Taskforce BID, afspraken gemaakt over het cyclisch inregelen

het openbaar bestuur wordt samengewerkt en welke verbindingen hiervoor de basis vormen. Sa-

van informatieveiligheid in de reguliere bedrijfsprocessen. Dit stelt overheden in staat om zelf op

menwerking is vanuit het perspectief van Verplichtende Zelfregulering essentieel. De verknoopte

een systematische wijze informatieveiligheid naar een hoger niveau te brengen. Daarbij bestaat cy-

informatiestromen betekenen voor overheden dat zij hun eigen verantwoordelijkheid voor informa-

clisch de ruimte om te leren van incidenten en te anticiperen op nieuwe ontwikkelingen. Overheden

tieveiligheid geen invulling kunnen geven zonder hiervoor de samenwerking te zoeken. Er zijn in de

zijn op deze wijze in staat gesteld om zelf stapsgewijs informatieveiligheid binnen de organisatie

afgelopen periode veel inspanningen verricht om de basics voor samenwerking te realiseren.

te verbeteren.

De Taskforce BID heeft hiertoe samen met het ministerie van BZK als stelselverantwoordelijke voor

In de afgelopen twee jaar heeft de Taskforce BID de koepelorganisaties van iedere overheidslaag

(digitale) dienstverlening samenwerking tot stand gebracht rondom vraagstukken die het organisa-

gefaciliteerd bij het realiseren en verankeren van deze cyclische verankering van informatieveilig-

tie-en koepelniveau ontstijgen. Om aan te sluiten op Verplichtende Zelfregulering vragen een deel

heid. Aan de realisatie van de afspraken is bijgedragen door inhoudelijke ondersteuning te bieden

van de bestaande samenwerkingsafspraken en -structuren aanpassingen. Het gaat hier bijvoorbeeld

bij het uitwerken van afspraken, het bijdragen aan congressen, het organiseren van evenementen

om samenwerking rondom informatieveiligheid in ketens, passend toezicht op informatieveiligheid

voor bestuurders, het ontwikkelen van workshops, simulaties en masterclasses en dergelijke. Met

en de coördinatie van het onderwerp als onderdeel van de digitale infrastructuur. Ook hier is parallel

als doel de kennis en vaardigheden van bestuurders en topmanagers op informatieveiligheid te

met ontwikkelingen op organisatieniveau de afgelopen jaren veel beweging in gekomen en bereikt.

vergroten. Tegelijkertijd zijn er instrumenten ontwikkeld om organisaties in staat te stellen informatieveiligheid te verankeren binnen hun organisatie.

Het gaat in dit tweede deel over de uitdaging om verbindingen te realiseren als de basis voor het vormen van coalities. Coalities die samen aan het werk willen en moeten met het informatieveilig-

Het leren op het gebied van informatieveiligheid doorkruist echter ook de grenzen van het open-

heidsvraagstuk. De kern is dat samenwerking noodzakelijk is om als overheid de verantwoordelijk-

baar bestuur. Samen met koepelorganisaties en het ministerie van BZK is daarom in de afgelopen

heid voor informatieveiligheid invulling te kunnen geven. De vraag is of de Taskforce BID hiervoor

periode de basis gelegd voor een inhoudelijke dialoog tussen de overheid, het bedrijfsleven en de

een voldoende brede basis heeft weten te leggen. Daarnaast is de vraag hoe de tot stand gebrachte

wetenschap. Deze dialoog richt zich op een gezamenlijke verdieping van het informatieveiligheids-

samenwerking kan worden voortgezet en verdiept.

vraagstuk, waarbij nieuwe ontwikkelingen op het gebied van technologie, maar ook ontwikkelingen binnen het openbaar bestuur en de samenleving in ogenschouw worden genomen.

Michel Van Eeten en Corien Prins analyseren, ieder vanuit hun eigen perspectief, de mogelijkheden en beperkingen van de overheid om de uitdagingen op het gebied van informatieveiligheid

In deel 3 kijken diverse auteurs kritisch naar de wijze waarop de afgelopen periode in vulling is

op te pakken. Beide essays hebben één gezamenlijke conclusie: de overheid kan het niet alleen.

gegeven aan het organisatieleren en hoe bereikte resultaten voortgezet kunnen worden. In dit deel

Informatieveiligheid vergt van de overheid een verbinding met de private sector, de samenleving én

volgt een verdieping van de vraag wat voor soort mechanismen bepalen hoe overheden al dan niet

de wetenschap.

succesvol kunnen leren. Specifiek gaat dit deel in op de (bestuurlijke) context waarin het leren tot stand komt in combinatie met de hoge mate van dynamiek van het thema informatieveiligheid.

Mark van Twist en Martijn van der Steen gaan in hun essay dieper in op deze verbinding door samenwerking met betrekking tot informatieveiligheid te verdiepen. Zij beschrijven welke paradoxale

Arno Nuijten en Mark van Twist analyseren hoe dagelijkse omstandigheden de gedragsreacties

mechanismen samenwerking in het algemeen kent en indiceren hoe daar bij de samenwerking op het

van mensen in sterke mate kunnen bepalen, ook als het gaat om informatieveiligheid. Door een ver-

vlak van informatieveiligheid rekening mee gehouden kan worden.

taling te maken van elementen uit de nudging-theorie geven zij aan welke ruimte er in het dagelijks handelen bestaat om te sturen op informatieveiligheid en hoe daar op bestuurlijk niveau goed op

Geert Munnichs en anderen vestigen de aandacht op het belang van de (informatie)positie van de

kan worden ingespeeld, om zo informatieveiligheid te verbeteren.

burger. Aan de hand van enkele sprekende voorbeelden onderbouwen ze de noodzaak van een dialoog met maatschappelijke groeperingen en burgers over de eisen die, mede vanuit het oogpunt van

Roel in ’t Veld gaat in op bestuurlijke mechanismen en reflexen die beperkend dan wel juist ver-

informatieveiligheid, aan ICT-systemen moeten worden gesteld.

ruimend zijn om op lerende wijze tot besluiten te komen. Hij benadrukt het belang van de wijze

16

17

van omgang met risico’s voor het kunnen leren. Als afsluiting schetst In ‘t Veld in het tweede deel

Bronnen

van zijn bijdrage hoe de overheid meer ruimte voor leren kan creëren door het vormen van vitale netwerken met publiek-private partijen.

College bescherming persoonsgegevens, (29 oktober 2013), Brief Voorgenomen decentralisatie van taken in het sociale domein

Ook als de ruimte om te leren bestaat, vergt deze ruimte echter specifieke leerprocessen om stappen voorwaarts te zetten. Ira Helsloot constateert dat het leren in de praktijk vaak symbolisch van aard

Kuypers, V. (16 augustus 2013). Problemen DigiD verholpen na DDoS-aanval. NRC

is, en dat van echt leren niet altijd sprake is. De belangrijkste oorzaak hiervan is dat het ontbreekt aan één belangrijke conditie: informatieveiligheid is momenteel geen onderwerp dat overheids-

Nationaal Cyber Security Centrum, (2014). Cyber Securtiy Beeld Nederland - 4

breed door bestuurders wordt begrepen, aldus Helsloot. Sprangers, R. (19 juli 2012). Stadhuisbrand van Leiden in 1929. Via www.isgeschiedenis.nl/ Vervolgens wijst Katrien Termeer op het bestaan van de risico’s op het gebied van informatie-

nieuws/stadhuisbrand-van-leiden-in-1929/

veiligheid waar we nu nog geen weet van hebben. Hierop kunnen organisaties zich niet planmatig voorbereiden door samen handelingsperspectieven te ontwikkelen. Het vergt een andere houding:

Wetenschappelijke Raad voor Regeringsbeleid (2011), I-Overheid, Den Haag/Amsterdam

alertheid, ruimte voor collectieve betekenisgeving en flexibiliteit in handelen. Termeer zet concreet uiteen wat dit voor organisaties betekent aan de hand van drie concepten: informational governance, securization en mindfullness. Tot besluit De afsluiting van de bundel wordt gevormd door een reflectie van Douwe Leguit, Eric Warners en Henk Wesseling van de Taskforce BID. Met name over hoe verder te gaan met het sturen op informatieveiligheid. De reflectie geeft aanknopingspunten voor het vitaal houden van de basics van Verplichtende Zelfregulering: door te blijven agenderen, te blijven samenwerken en te blijven leren.

1 Zie ook het Inrichtingsplan van de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID) 2 Sprangers, 2012 3 De Wetenschappelijk Raad voor Regeringsbeleid heeft in 2011 een rapport gepubliceerd onder de titel 4 I-Overheid. Het rapport is een uitgebreide en heldere analyse van de consequenties van de opkomst van de I-Overheid 5 Bij een DDoS-aanval wordt een website bestookt met extreem veel dataverkeer. De beveiliging van de site is dan zo druk met het tegenhouden van dit ongewenste verkeer dat ook de gewone bezoekers niet of nauwelijks door deze verkeersstroom komen en dus niet of nauwelijks gebruik kunnen maken van de dienstverlening. (Kuypers, 2013). Zo’n aanval heeft niet als doel informatie afhandig te maken, maar het zorgt er wel voor dat bezoekers geen gebruik kunnen maken van de digitale diensten 6 Suwinet is het systeem dat gemeenten, het UWV en de Sociale Verzekeringsbank gebruiken om gegevens uit te wisselen over werk en inkomen van burgers 7 De brief: www.cbpweb.nl/downloads_pb/pb_20131029-brief-decentralisaties.pdf

18

19

marcel thaens stavros zouridis bert mulder marleen stikker bert-jaap koops pieter tops

Deel 1:

Agendering van informatieveiligheid

hans de bruijn

essays

1.

Tussen bestuurlijke naïviteit en informatieveiligheidsutopie

marcel thaens

Hoogleraar bestuurskunde Erasmus Universiteit Rotterdam

stavros zouridis Hoogleraar bestuurskunde Universiteit van Tilburg

“Informatiebeveiliging vereist een cultuurverandering, niet slechts het invoeren van techniek.”

Foto: Aija Lehtonen / Shutterstock.com

Piet Sennema, Secretaris-directeur Waterschap Aa en Maas

Inleiding Informatieveiligheid bereikt maar moeilijk de bestuurlijke agenda. Dat bleek eerder ook uit het OVV-rapport over DigiNotar en het was een van de aanleidingen om de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID) in te stellen.1 Uit het eerste hoofdstuk in deze bundel blijkt dat de Taskforce BID inmiddels aan de randvoorwaarden sleutelt om informatieveiligheid prominenter op de bestuurlijke agenda te krijgen. Daardoor kan meer aandacht komen voor het thema informatieveiligheid in de context van dienstverlening. In dit essay verkennen we of en hoe de weinig prominente plaats van informatieveiligheid op de bestuurlijke agenda te maken heeft met de uiteenlopende beelden en percepties van publieke topmanagers en bestuurders enerzijds en informatiebeveiligers anderzijds. Daartoe bezien we om te beginnen veiligheid van publieke dienstverleningsinformatie door de bestuurlijke bril (paragraaf 2). Uit deze analyse blijkt dat bestuurders een tamelijk naïef beeld hebben van de informatieveiligheidsrisico’s die met (digitale) dienstverlening samenhangen. Daartegenover plaatsen we de benaderingen van informatieveiligheid die aangetroffen kunnen worden in de wereld van de informatiebeveiliging (paragraaf 3). Op basis van de professionele normen rond informatieveiligheid constateren we een neiging om zo veel mogelijk te kiezen voor een benadering waarin het liefst honderd procent van de risico’s worden uitgebannen. Het is gezien deze uiteenlopende belevingen en de spanningen tussen de bestuurlijke agenda en de wereld van informatieveiligheid niet verrassend dat informatieveiligheid de bestuurlijke agenda maar nauwelijks bereikt. Dat is onterecht, als we de

23

kabinetsambitie om in 2017 honderd procent digitale dienstverlening te realiseren serieus nemen.

veiligheid ofwel iets dat wordt aangenomen (het zal wel goed zitten) ofwel een incident dat om

Deze ambitie brengt immers nogal forse informatieveiligheidsrisico’s met zich mee (paragraaf

adequate managementactie vraagt, waarna de aandacht weer terug kan naar de ‘echt’ belangrijke

4). Vanuit deze ambitie en de uiteenlopende belevingen van informatieveiligheid formuleren we

zaken. Uit onze ervaring met bestuurders en topmanagers van grote uitvoeringsorganisaties in de

in de slotparagraaf enkele lessen en wenken voor het kabinet en de Taskforce BID.

publieke sector en ons onderzoek zijn vijf typische kenmerken te destilleren over het perspectief van waaruit zij informatieveiligheid bekijken.

Informatieveiligheid door de bril van bestuurders en managers Bestuurders en topmanagers van grote (uitvoerings)organisaties in de publieke sector zijn te di-

Ten eerste kijken bestuurders en topmanagers pragmatisch naar informatieveiligheid. Daarmee

vers om over een kam te scheren, maar doorgaans zijn er in hun blik op de wereld en hun eigen

bedoelen we dat de kosten van informatiebeveiliging worden afgewogen tegen de risico’s van

organisatie wel patronen te herkennen. Deze patronen hebben om te beginnen te maken met de

verkeerd gebruik van publieke dienstverleningsinformatie. Dit bleek onder meer uit een onder-

specifieke positie in de organisatie, waarbij vanaf de top naar beneden wordt geredeneerd. In de

zoek dat wij deden naar het zogeheten TTP-beleid3 dat door het Ministerie van Economische

toppen van publieke organisaties gaat het om het ‘strategisch portfolio’ van de organisatie, maar

Zaken was ontwikkeld.4 Eenvoudig gezegd was de vraag van dat ministerie waarom een ICT-toe-

voorop staat toch de aansluiting van de organisatie op de wensen, eisen en veranderingen in de

passing met een (extreem) hoge graad van informatieveiligheid eigenlijk niet werd gebruikt door

omgeving. Vragen als ‘welke uitdagingen komen op de organisatie af?’, ‘hoe staat het met de

grote uitvoeringsorganisaties in de publieke sector. Deze toepassing was beschikbaar, maar er

tevredenheid en het vertrouwen van de klanten?’ en ‘hoe moet de organisatie omgaan met bij-

was kennelijk geen behoefte aan. Welnu, het antwoord was dat de kosten (ICT-investeringen,

voorbeeld bezuinigingen?’ zijn typische vragen waarmee bestuurders en topmanagers van grote

maar vooral ook de complexiteit van het gebruik door burgers en uitvoerende ambtenaren) niet

organisaties worstelen.

opwegen tegen de risico’s. De risico’s worden als klein ingeschat: wie zou immers overwegen

2

om aangifte te doen voor z’n buurman, een uitkering voor een ander aan te vragen of een verNaast hun positie bepaalt in de tweede plaats de ‘maatschappelijke hectiek’ sterk de blik van

gunningaanvraag in te dienen voor het bedrijf aan de andere kant van de straat? De kosten wor-

bestuurders en topmanagers van grote organisaties. Incidenten als gevolg van ‘fouten’ in de uit-

den daarentegen wel hoog ingeschat; vooral was het bezwaarlijk dat een dergelijke hoge graad

voering, ‘gelekte’ informatie, protesten van belangenorganisaties, bonden of klanten, enzovoort

van beveiliging veel drempels zou opwerpen voor klanten. Kortom, een pragmatische afweging

bereiken in het huidige mediatijdperk razendsnel de publieke en de politieke agenda. En dan

waartegen weinig in te brengen lijkt.

komt het voor de bestuurder en topmanager aan op het zo snel mogelijk ‘managen’ van een adequate reactie. De permanente stroom incidenten vult dagelijks de agenda van menig bestuurder

Ten tweede beschouwen bestuurders en topmanagers, ook als ze zoals veel bestuurders en top-

en topmanager van grote uitvoeringsorganisaties als de Belastingdienst, een sociale dienst in een

managers in grote uitvoeringsorganisaties al een ICT-gevoel hebben, informatiebeveiliging als

grote stad, de Immigratie- en Naturalisatiedienst(IND) of de Dienst Justitiële Inrichtingen.

een technische stafkwestie. Het is belangrijk dat dit goed op orde is, maar dat is een zaak van de stafafdeling die er over gaat. Informatiebeveiliging heeft hiermee een hoge graad van vanzelf-

Een derde bouwsteen voor de blik van de bestuurder en topmanager van een grote uitvoeringsor-

sprekendheid: de bestuurder of topmanager gaat ervan uit dat informatiebeveiliging op orde is en

ganisaties wordt wel ‘management bias’ genoemd. Bestuurders en topmanagers, wie kan het ze

het is daarmee niet iets dat het eigen werk raakt. Bovendien bevindt informatiebeveiliging zich

kwalijk nemen, zijn vooral gepreoccupeerd met hun eigen agenda ofwel met wat ze zelf met de

hiermee in de periferie of in de ooghoek van de bestuurder of topmanager, net als het personeels-

organisatie voor ogen hebben. In de relatief geringe tijd die ze hebben om hun agenda daadwer-

beleid, de auditing of de huisvesting. Dat informatiebeveiliging zelfs voor een doorgewinterde

kelijk te realiseren komt het aan op focus en niet al te veel afleiding. De dagelijkse incidenten

ICT-specialist ook niet altijd goed te doorgronden is, bevordert niet dat bestuurders en topmana-

en beslommeringen leiden immers al genoeg af; de rest van de tijd is gevuld met de eigen (ver-

gers zich ermee bezig gaan houden.

ander- of beleids)agenda waarop de bestuurder of topmanager is aangetrokken en waarvan het vermoeden bestaat dat deze hierop ook zal worden afgerekend.

Daarmee is ook een derde kenmerk van de blik van de bestuurder en topmanager geraakt. Veelal gaat het immers om mensen die wel een zekere ICT-affiniteit hebben. Publieke dienstverlening

Bezien vanuit deze blik op de eigen organisatie zijn de veiligheidsrisico’s van publieke dienst-

zonder ICT is immers niet meer goed denkbaar, bovendien wordt ICT nog steeds omgeven door

verleningsinformatie (met andere woorden, informatieveiligheid) niet de eerste prioriteit van de

een zweem van ‘innovatie’ en ‘state of the art’. Maar deze ICT-affiniteit moet vooral worden ge-

gemiddelde bestuurder of topmanager van grote uitvoeringsorganisaties in de publieke sector.

plaatst in de context van het primaire proces, zoals ook het rapport van de Onderzoeksraad voor

Zoals ook het DigiNotar-rapport van de Onderzoeksraad voor Veiligheid laat zien, is informatie-

Veiligheid over DigiNotar concludeert. Is de ‘productie’ op orde, in de zin van zijn de aangiften

24

25

tijdig afgehandeld, hebben alle rechthebbenden tijdig hun uitkering, enzovoort? En zo niet, wat moet er gebeuren om de case-load alsnog tijdig weg te werken? Vanuit deze focus op het primaire proces is informatieveiligheid al snel iets dat in de ooghoek terecht komt. Soms verplaatst informatieveiligheid zich vanuit de ooghoek naar het centrum. Dat heeft te maken met een vierde kenmerk van de blik van bestuurders en topmanagers, namelijk een sterke focus op incidenten. Incidenten, ooit gedefinieerd als alledaagse gebeurtenissen die plotseling opduiken in de Haagse media- en politieke arena en daar snel escaleren waardoor ze politieke risico’s en kansen veroorzaken, zijn voor bestuurders en topmanagers kwesties van ‘leven of dood’.5 Het komt er dan ook op aan incidenten zodanig te managen dat de politieke escalatie stagneert of dat de rust wederkeert. En dé manier om dat te doen is het treffen van adequate maatregelen. Het incident DigiNotar is daarvan een treffend voorbeeld, inclusief de instelling van de Taskforce BID. Als adequate maatregelen worden getroffen, keert de politiek-bestuurlijke rust snel terug en kan de bestuurder of topmanager weer verder. Daarna verdwijnt het vraagstuk al snel onder zijn of haar radar, niet in de laatste plaats omdat er andere incidenten zijn die om de aandacht vragen. Een laatste kenmerk heeft vooral betrekking op de blik van de (politiek) bestuurder, wat minder op die van de topmanager van grote uitvoeringsorganisaties in de publieke sector. In de beleving van de doorsnee bestuurder is publieke dienstverlening belangrijk, maar niet in de politiek-bestuurlijke zin. Voor de bestuurder is vooral zijn of haar beleid van belang, en uitvoering of dienstverlening is daaraan ondergeschikt. Met dienstverlening is in de politieke zin weinig te winnen (op z’n best is er wat te verliezen, als de uitvoering voortdurend incidenten veroorzaakt) en ook voor managers blijkt uit onderzoek dat bijvoorbeeld efficiëntie vaak doorslaggevender is dan dienstverlening.6 Kortom, publieke dienstverlening krijgt vanuit bestuurlijk oogpunt minder aandacht dan beleid en beleidsontwikkeling en daarbinnen is informatiebeveiliging dan slechts een van de aspecten. Zoals al blijkt uit de beschrijving, is de kans vrij klein dat de veiligheidsrisico’s van dienstverleningsinformatie en de beheersing van deze risico’s (met ICT) op korte termijn hoog op de agenda van politiek bestuurders en topmanagers van grote uitvoeringsorganisaties in de publieke sector terecht komen. Het gaat immers om een technische stafkwestie, waaraan geen grote veiligheidsrisico’s en wel hoge kosten verbonden zijn, in het kader van publieke dienstverlening. In de beleving van veel bestuurders gaat het dus niet om het primaire proces en bovendien leidt informatieveiligheid slechts zelden tot incidenten. Zou de vraag van de Taskforce BID niet moeten worden omgedraaid: dus niet waarom informatieveiligheid niet hoog op de agenda van bestuurders en managers staat, maar hoe het kan dat informatieveiligheid zo af en toe deze agenda bereikt? Hierop komen we terug in onze afsluitende paragraaf.

26

Benaderingen van informatieveiligheid

de toenemende afhankelijkheid van de digitale wereld was dit lange tijd een aantrekkelijk – zij het

Informatieveiligheid is een lastig en complex vraagstuk met meerdere dimensies. De ‘Resolutie

uiteraard utopisch - perspectief. Het helpt mensen om hun angst voor de online wereld te overwin-

Informatieveiligheid, randvoorwaarde voor de professionele gemeente’ van de Vereniging voor

nen. Je kunt in de online wereld immers signalen missen uit de context die je kunnen helpen vast te

Nederlandse Gemeenten (VNG) (in 2013 bekrachtigd) wijst er nadrukkelijk op dat het daarbij in

stellen of je wel echt zaken doet met de organisatie waar je denkt zaken mee te doen. Vaak bestaat

ieder geval gaat om een organisatorische en een technische dimensie. En terecht werkt de Task-

daarom de neiging om in de online wereld de beveiliging zwaarder te maken, veelal door aanvul-

force BID hard om bestuurders in te laten zien dat informatieveiligheid een thema is waar men

lende technische maatregelen, dan dat we dat in de offline wereld zouden regelen. Zie het eerder

aandacht voor moet hebben vanwege de mogelijk grote bestuurlijke gevolgen als het onverhoopt

genoemde voorbeeld van de gekwalificeerde digitale handtekening (TTP-beleid)8, die eigenlijk

eens mis gaat.

‘te zwaar’ is geworden waardoor het dagelijkse gebruik ervan veelal te moeilijk en te duur werd.

Informatieveiligheid heeft betrekking op het afwenden van bedreigingen, het weerbaar zijn te-

Een andere benadering die steeds meer ingang heeft gevonden is een meer zakelijke benadering.

gen kwetsbaarheden en het adequaat kunnen omgaan met de gevolgen hiervan. Vanwege deze

Bij het besluit welke maatregelen moeten worden genomen om kwetsbaarheden en bedreigingen

strekking ligt het begrip in het directe verlengde van een begrip waar al wat langer aandacht voor

te voorkomen wordt gelet op de kosten die hiermee samenhangen en de baten die het oplevert.

bestaat, te weten informatiebeveiliging. En als we eens kijken op welke manier vanuit de publieke

De ratio tussen kosten en opbrengsten is uiteindelijk dan doorslaggevend voor de maatregelen die

sector wordt omgegaan met deze informatiebeveiliging, dan wordt duidelijk dat het niet zo heel

worden getroffen. Een meer verfijnde en uitgewerkte vorm van deze benadering van informatie-

vreemd is dat, zoals wij constateren in een van onze eerder beschreven observaties, bestuurders

veiligheid is er één waarin nadrukkelijk wordt gewerkt met uitgebreide risicoanalyses en daarop

alles wat te maken heeft met informatieveiligheid toch vooral beschouwen als een ‘technische

volgende risicoberekeningen. Aan de hand van de kans op voorkomen en de mogelijke impact

stafkwestie’ die voornamelijk behoort tot de wereld van de ICT en de systemen. De Strategische en

(schade) op het moment dat een dreiging werkelijkheid wordt, kun je een rangorde berekenen (ri-

ook de Tactische Baseline Informatiebeveiliging Nederlandse Gemeenten van de Informatiebevei-

sico calculus) van de meest schadelijke en dringend aan te pakken dreigingen en kwetsbaarheden.

ligingsdienst voor gemeenten (IBD) en de VNG illustreert dit. Deze baseline dient als een normen-

Hierbij wordt dus erkend dat niet alle dreigingen en kwetsbaarheden kunnen worden voorkomen of

kader dat de beschikbaarheid, integriteit en exclusiviteit van gemeentelijke informatie(systemen)

in ieder geval dat het (economisch) niet rendabel is om je vooraf tegen alle mogelijke dreigingen

bevordert. Hoewel geen kwaad woord over de strekking, inhoud en vooral bedoeling van deze ba-

en kwetsbaarheden te weren. Het gaat dus om het geven van beredeneerde selectieve aandacht.

seline, maakt onderstaand citaat wel duidelijk dat deze baseline qua taal en ook qua onderwerpen zich toch in een andere wereld lijkt te bevinden dan die waar bestuurders zich vooral in ophouden.

Opvallend in al de hier kort beschreven benaderingen, ook die waarin het gaat om informatiebeveiliging, is dat een economische, maar vooral toch ook een technisch-wetenschappelijke rationaliteit

  “Deze Tactische Baseline is opgezet rondom bestaande normen; de NEN/ISO

(zie het werk van Snellen9) lijkt te overheersen. Het handelen lijkt vooral te worden bepaald door

27002:2007 en NEN/ISO 27001:2005. Deze standaard is voor de Nederlandse

overwegingen van efficiency (bijvoorbeeld de zakelijke benadering) en door de inzet van technie-

Overheid gekozen en algemeen aanvaard als de norm voor informatiebeveiliging.

ken en instrumenten om dreigingen en kwetsbaarheden te minimaliseren. Deze lopen uiteen van de

Voor specifieke maatregelen is in onderhavige Tactische Baseline ook gebruik ge-

inzet van richtlijnen en normen (bij informatiebeveiliging) en de inzet van (vaak zeer) technische

maakt van de WBP, de SUWI-wet, GBA, BAG en PUN.” (IBD Kinggemeenten,

maatregelen (100% aanpak) tot het berekenen van kosten en baten en zelfs gedetailleerde risico-

Tactische Baseline Informatiebeveiliging7)

berekeningen. Deze laatste kunnen overigens ook worden gezien als een min of meer ‘technisch’ antwoord op vraagstukken van onzekerheid en ambiguïteit. De insteek hierbij is immers nadrukke-

Het is onze inschatting dat de gemiddelde bestuurder of topmanager van een uitvoeringsorganisa-

lijk gericht op beheersing en het krijgen van controle over mogelijke risico’s (door gebruikmaking

tie na het lezen van deze tekst toch niet direct zal weten waar dit nu allemaal betrekking op heeft

van techniek en instrumenten).

en wellicht ook niet getriggerd wordt om dit uit te gaan zoeken. In een studie van een paar jaar geleden voor het Ministerie van Binnenlandse Zaken en Konink-

28

Met de ontwikkeling van aandacht voor informatiebeveiliging naar informatieveiligheid zien we

rijksrelaties (BZK) (uitgevoerd door het Center for Public Innovation in samenwerking met

langzaamaan ook andere benaderingen aan terrein winnen. Een paar daarvan laten we kort de revue

TNO)10 is gesteld dat de beveiliging van informatie op drie manieren kan worden gereguleerd. Het

passeren. De eerste is het streven naar 100% veiligheid en het niet accepteren van enige bedreiging

bovenstaande laat zien dat het bij informatieveiligheid vaak toch gaat om vooral een technische

of kwetsbaarheid. Ingegeven door de opkomst, en zeker in het begin de onbekendheid, en later ook

en een informatiekundige regulering. In de technische regulering gaat het om het voorkomen van

29

dreigingen door de inzet van allerlei additionele vormen van technologie (hard- en software), zoals het gebruik van firewalls, het toepassen van versleutelingscodes en het installeren van filters etc. Bij de informatiekundige regulering is niet zozeer de techniek het aangrijpingspunt om om te gaan met dreigingen, maar wordt gekeken op het niveau van de informatie die binnen en tussen organisaties wordt gebruikt. Door goed na te denken over de manier waarop je omgaat met informatie, kunnen risico’s op misbruik of oneigenlijk gebruik of gewoon fouten worden voorkomen. Denk bijvoorbeeld aan het in gescheiden bestanden opslaan van gegevens die veelal onder de verantwoordelijkheid van verschillende organisaties vallen. Het gebruik van Privacy Enhancing Tools (PET) en de toepassing van normen, codes en richtlijnen zijn hiervan voorbeelden. Dit beeld lijkt goed te passen bij de eerder beschreven observatie dat bestuurders informatieveiligheid vaak zien als een technische stafkwestie. De technisch-instrumentele invalshoek die dominant is in de ‘wereld’ van de informatieveiligheid bevestigt en versterkt daardoor in veel gevallen het ‘vooroordeel’ dat veel bestuurders hebben waardoor het des te moeilijker is en wordt om informatieveiligheid als regulier aandachtspunt op de bestuurstafel te krijgen. Maar er is hoop. Er is namelijk ook een andere benadering die we in de praktijk kunnen waarnemen. Het gaat dan om een benadering waarin dienstverlening voorop staat en risico’s dan maar genomen moeten worden. In tegenstelling tot de andere beschreven benaderingen worden risico’s dus niet als uitgangspunt genomen in het denken, maar min of meer als sluitstuk. Niet het beheersingsen controle denken staat centraal, maar juist de acceptatie van eventuele risico’s (uiteraard binnen grenzen) als iets dat onlosmakelijk is verbonden met digitale dienstverlening. Het ontwikkelen van digitale dienstverlening wordt dan beschouwd als een vorm van innovatie. En natuurlijk moet je zo zorgvuldig mogelijk te werk gaan, maar om verder te komen, zo luidt de redenering, is het onvermijdelijk dat er wel eens wat mis zal gaan. Dat is namelijk een kenmerk van innovatie. Het handelen is er dan op gericht om deze risico’s en de gevolgen hiervan zo klein mogelijk te houden en adequaat te reageren op het moment dat ze optreden. Een voorbeeld hiervan is te vinden bij de digitale aangifte. Voordat DigiD beschikbaar was, bood de Belastingdienst aan burgers jarenlang de mogelijkheid om digitale aangifte te doen, beveiligd met een zelfgekozen pincode. Dit was een zeer lage vorm van beveiliging. Dat kon omdat de ervaring leerde dat het niet vaak voorkomt dat mensen vanuit verkeerde overwegingen aangifte voor iemand anders doen. In vergelijking met andere publieke organisaties, was de Belastingdienst daardoor relatief snel met het aanbieden van digitale dienstverlening aan burgers. Bovendien bespaarde men in de loop der jaren enorm veel op uitvoeringskosten door niet te wachten op de ontwikkeling van een zwaardere vorm van identificatie en authenticatie. Greep krijgen op informatieveiligheid vindt binnen deze benadering dus niet primair plaats via een technische of informatiekundige regulering, maar veel meer via sociale regulering. Het met elkaar, vanuit wensen, ambities en doelen, afspraken maken over hoe we omgaan met aspecten van informatieveiligheid. De betrokkenen zelf maken afspraken met elkaar over wat wel en niet acceptabel is en hoe bepaalde zaken moeten worden opgelost of aangepakt.

30

“Aan de andere kant moeten mensen niet de illusie hebben dat je alles kunt beveiligen.” Hans Brouwer, Wethouder Apeldoorn

De informatieveiligheidsrisico’s van digitale dienstverlening

van het stelsel en dus de infrastructuur moet bevorderen. Maar deze tijdelijke functionaris zal niet de

Hoewel we in Nederland al lange tijd bezig zijn met de ontwikkeling van digitale dienstverlening

eindverantwoordelijkheid dragen voor een goede en veilige werking van deze infrastructuur.

en er al veel is gebeurd op dit vlak, is de ambitie door dit kabinet opgeschroefd met de kabinetsvisie 2017. Bedrijven en burgers kunnen uiterlijk in 2017 zaken die ze met de overheid doen digitaal gaan

Kortom: de ambitie van het kabinet is fors en de voordelen van volledig digitale dienstverlening

regelen. Daartoe zijn verschillende aspecten benoemd die de komende periode geregeld moeten gaan

voor zowel de burgers en bedrijven als voor de overheid zelf zijn evident. Maar in termen van

worden. In de brief van Minister Plasterk hierover aan de Tweede Kamer uit mei 201311 wordt wel

informatieveiligheid brengt het ook nog wel tal van nieuwe uitdagingen met zich mee waar we de

aandacht geschonken aan informatieveiligheid, maar wordt niet specifiek gekeken naar risico’s die

komende tijd een antwoord op moeten zien te formuleren.

hiermee samenhangen. Wel wordt aangegeven dat de Taskforce BID wordt ingezet om het bewustzijn op dit punt bij bestuurders te versterken. Bewustwording organiseren: wenken en lessen Een dergelijke dienstverleningsambitie brengt ook nieuwe dreigingen en kwetsbaarheden met zich

Aanleiding voor deze bundel is de constatering geweest dat informatieveiligheid maar moeizaam de

mee. Sommige bestaan uit risico’s die we eerst ook wel liepen, maar waarvan de ernst toeneemt

bestuurlijke agenda bereikt. Terwijl daar, zeker in het licht van de beschreven dienstverleningsambi-

doordat het nu gaat om een grotere schaal waarop gegevens worden uitgewisseld. Een gemaakte

ties van het kabinet, toch zeker aanleiding voor is. In dit essay zijn we nagegaan of dat iets te maken

fout in de gegevensverwerking heeft daardoor naar verwachting ook grotere gevolgen. Dit wordt

zou kunnen hebben met de uiteenlopende percepties van bestuurders en topmanagers van grote uit-

ook wel aangeduid als de ‘virale’ werking van foutieve informatie. Daarnaast wordt natuurlijk het

voeringsorganisaties in de publieke sector enerzijds en informatiebeveiligers anderzijds. Zoals al uit

gevaar groter dat de informatie voor overheidsdienstverlening kan worden misbruikt of oneigenlijk

de beschrijving blijkt, kan deze vraag positief worden beantwoord. Waar informatieveiligheid voor

kan worden gebruikt door kwaadwillenden en onbevoegden. Ook moeten organisaties steeds inten-

bestuurders en topmanagers een ‘ooghoekkwestie’ is, vormt deze de kern van het werk van de informa-

siever samenwerken om in staat te zijn de dienstverlening aan burgers en bedrijven op hoog niveau te

tiebeveiligers. Waar bestuurders en topmanagers de veiligheidsrisico’s van publieke dienstverlenings-

verlenen. Dat betekent dat er steeds meer informatieketens ontstaan waarbij vele schakels betrokken

informatie als laag inschatten en de kosten (in brede zin, dus inclusief drempels voor gebruik) als hoog,

zijn. Dit maakt informatieveiligheid in ieder geval tot een (nog) complexer vraagstuk. Bekend uit het

is dat voor de informatiebeveiligers andersom. Informatieveiligheid blijkt voor bestuurders en top-

(keten)werk van Jan Grijpink is dat een grootschalige kijk andere aspecten en risico’s toont dan een

managers een technische kwestie, voor informatiebeveiligers een managerial en bestuurlijke kwestie.

kleinschalige kijk.12 Vaak realiseren we ons dat niet en dat is daarom dus juist een extra risico wanneer dienstverlening wordt opgeschaald. Naast min of meer bekende dreigingen en kwetsbaarheden leidt

Wie heeft er gelijk: de bestuurder of de informatiebeveiliger? Allebei een beetje, zo blijkt uit onze

de realisatie van de geformuleerde dienstverleningsambitie ook tot nieuwe risico’s. Denk bijvoorbeeld

verkenning. Er zijn wel degelijk gebleken veiligheidsrisico’s verbonden aan publieke dienstver-

aan het toenemende gevaar van context-stripping als informatie steeds vaker en intensiever door ver-

leningsinformatie, risico’s die zich sterker zullen manifesteren als de kabinetsagenda ten aanzien

schillende soorten organisaties uit verschillende domeinen wordt gedeeld en uitgewisseld. De Weten-

van digitale dienstverlening realiteit wordt. En deze ‘technische’ risico’s kunnen razendsnel ook

schappelijke Raad voor het Regeringsbeleid (WRR) heeft hier in haar rapport iOverheid nadrukkelijk

politieke, bestuurlijke en managerial risico’s worden, zo blijkt uit de casus DigiNotar. Kortom,

op gewezen.13 Een voorbeeld van een nieuw type risico is ook de toegenomen afhankelijkheid. Als

de informatiebeveiligers dragen een serieus probleem aan. Tegelijkertijd hebben ook de bestuur-

alle dienstverlening digitaal gaat, zijn we onthand op het moment dat systemen weigeren of haperen.

ders en topmanagers gelijk. Informatieveiligheid is geen absolute waarde, maar mag wel degelijk in kosten versus opbrengsten worden vertaald. Het is alleszins legitiem om hiervan vervolgens

Om de dienstverleningsambitie waar te kunnen maken, is het hebben van een goed en betrouwbaar

een pragmatische afweging te maken. En het primair proces is inderdaad belangrijker dan de

werkende generieke infrastructuur cruciaal. Op dit moment is een dergelijke infrastructuur nog niet

veiligheid van dienstverleningsinformatie, dus met een sterke focus op het primair proces bij be-

gerealiseerd. Wel zijn er allerlei bouwstenen ontwikkeld die gebruikt kunnen worden als onderdeel

stuurders en topmanagers lijkt niet veel mis. Het is daarom hoopgevend dat uit de dialoog tussen

van een dergelijke infrastructuur. Ten aanzien van ieder van die bouwstenen is er een opdrachtgever

de overheid, het bedrijfsleven en de wetenschap (geïnitieerd door de Taskforce BID), blijkt dat

en zijn technische en informatiekundige afspraken nodig en veelal ook wel gemaakt. Er ontstaat ech-

bij bestuurders en topmanagers behoefte bestaat om samen het informatieveiligheidsvraagstuk

ter een nieuwe situatie op het moment dat deze bouwstenen aan elkaar gekoppeld worden tot een wer-

verder te verdiepen, waarbij nieuwe ontwikkelingen op het gebied van technologie, maar ook

kend stelsel. Want wie is verantwoordelijk voor de brede infrastructuur die dan ontstaat en wie dient

ontwikkelingen binnen het openbaar bestuur en de samenleving in ogenschouw worden genomen

zich dan te bekommeren om de stelselrisico’s en kwetsbaarheden? Het antwoord hierop is nog niet

(zie hoofdstuk 1 van deze bundel).

gegeven. Wel is er een Nationaal Commissaris Digitale Overheid aangesteld, die de totstandkoming

32

33

Kunnen informatiebeveiligers ervoor zorgen dat informatieveiligheid eerder de bestuurlijke agen-

om om te gaan met dreigingen en kwetsbaarheden past daarbij wellicht beter dan technische of

da bereikt en daarop een hogere positie inneemt, oftewel kunnen zij een rol spelen in het de ver-

informatiekundige regulering. Een mooie en tevens ook belangwekkende kans om deze pragmati-

dieping van het informatieveiligheidsvraagstuk in de eerder genoemde dialoog tussen bestuurders?

sche benadering en de daarbij behorende sociale regulering toe te passen, komt voort uit de ambitie

Onze analyse geeft aanleiding tot ten minste drie lessen en wenken voor de informatiebeveiligers.

van het kabinet om in 2017 te komen tot digitale dienstverlening aan burgers en bedrijven. We heb-

Ten eerste een ‘berustende’ les. Accepteer om te beginnen dat je met informatieveiligheid in de

ben aangegeven dat deze ambitie leidt tot nieuwe (en geïntensiveerde oude) vragen op informatie-

ooghoeken van bestuurders en topmanagers opereert. Niet alleen zou het een slecht teken zijn als

veiligheidsgebied. Bijvoorbeeld rond de ontwikkeling van een generieke infrastructuur die nodig

informatieveiligheid voortdurend veel aandacht vraagt van bestuurders en topmanagers (kennelijk

is om de ambitie waar te kunnen maken en waarvan niet duidelijk is wie over deze infrastructuur

is het dan immers niet goed op orde, hetgeen de beveiligers zich mogen aantrekken), informatie-

‘gaat’. En van sommige risico’s die dan mogelijk gaan optreden, hebben we nu waarschijnlijk nog

veiligheid blijft een afgeleide van publieke dienstverlening (het primaire proces).

geen weet, zo stelt Termeer elders in deze bundel. In haar bijdrage geeft ze ook aan dat dat vraagt om een andere houding waarin alertheid, ruimte voor collectieve betekenisgeving en flexibiliteit

Een tweede les, en die sluit heel goed aan bij het organisatieleren dat door de Taskforce BID ver-

in handelen belangrijke aspecten zijn. Sociale regulering als manier van omgaan met dreigingen

der vorm is gegeven in het kader van de ‘Verplichtende Zelfregulering’, is om beter aansluiting

en risico’s kan in onze ogen worden gezien als concretisering van deze andere houding die nodig

te zoeken bij de logica van bestuurders en topmanagers. Het meest voor de hand liggend aankno-

is. Immers, bij sociale regulering vormen betekenisgeving tussen betrokkenen en flexibiliteit de

pingspunt is het incident. Benut dus vooral incidenten om ervan te leren, zou de les kunnen zijn.

uitgangspunten. Op weg naar ‘2017’ worden bouwstenen aan elkaar gekoppeld en zijn vele partijen

Niet alleen leveren incidenten veel bestuurlijke en managerial aandacht op, ze leveren ook poli-

betrokken. Tal van afspraken moeten daarom op diverse vlakken worden gemaakt. Qua Informa-

tiek-bestuurlijke kansen op. Er is bijvoorbeeld ineens geld voor een ‘verbeterprogramma’, ruimte

tieveiligheid ligt hier een kans om te kiezen voor sociale regulering. Een van de mogelijkheden

voor het veranderen van wetgeving, stopzetten van ‘verkeerde’ ICT-ontwikkeling, enzovoort. Om

daartoe is het kiezen voor het werken met een ‘keurmerk’ voor de bouwstenen (en hun interactie)

incidenten te benutten, moeten ze eerst wel als politiek-bestuurlijke kansen voor informatiebevei-

die in de generieke infrastructuur gebruikt worden. Bestuurders weten dan dat men zich over de

ligers worden gedefinieerd. Als deze ‘turn’ is gemaakt, kunnen incidenten sneller worden benut en

generieke infrastructuur in ieder geval geen zorgen hoeft te maken. De discussie over informatie-

kan via die lijn de informatieveiligheid van publieke dienstverlening nieuwe (financiële of andere)

veiligheid wordt daarmee uit het ‘technische’ domein gehaald en meer onderwerp gemaakt van het

impulsen krijgen. Een goed systeem voor alertheid op incidenten en het prepareren van maatrege-

‘bestuurlijke’ domein.

len die op dat moment kunnen worden voorgesteld is ook voor informatiebeveiligers geen overbodige luxe. Belangrijk hierbij, wil het leren echt tot stand komen, is dat de informatiebeveiligers ook qua taal en metaforen die ze gebruiken, zoveel mogelijk proberen aan te sluiten bij de wereld van de bestuurders en managers. Dat wil zeggen incidenten vertalen naar hun betekenis voor de organisatie en haar processen en niet primair naar hun technische implicaties. In de bijdrage van Helsloot aan deze bundel constateert hij echter dat soms van echt leren geen sprake is. Dit omdat informatieveiligheid volgens hem geen onderwerp is dat overheidsbreed door bestuurders wordt begrepen. Een derde wenk of les die we daarom willen meegeven, is dat het hierbij niet helpt om informatieveiligheid te verabsoluteren. De ‘pragmatische’ benadering is niet helemaal onzin en komt in de private sector (bijvoorbeeld bij banken of webwinkels) ook voor. Als de drempels voor gebruikers te groot worden, gaat informatieveiligheid ten koste van de dienstverlening. Als voor lage veiligheidsrisico’s ‘perfecte’ systemen worden voorgesteld, komt dat de geloofwaardigheid van de informatiebeveiliger niet ten goede. Wij stellen daarom voor dat zij zelf ook vooral uit moeten gaan van de ‘pragmatische’ benadering. Daarmee kunnen informatiebeveiligers makkelijker ‘langszij’ komen bij bestuurders en topmanagers; bovendien versterken ze hun eigen geloofwaardigheid. En uiteindelijk is daarmee ook de kwaliteit van de publieke dienstverlening in Nederland gediend, en daar ging het toch om. Kiezen voor een sociale regulering als manier

34

1  Onderzoeksraad voor Veiligheid, Het DigiNotarincident. Waarom digitale veiligheid de bestuurstafel te weinig bereikt, Den Haag, 2012. 2 Zie bijvoorbeeld voor stijlen van bestuurders P.W. Tops en G. Schouw, Stijlen van besturen, Amsterdam: Atlas, 1999 en voor stijlen van managers H. Mintzberg,The Nature of Managerial Work, New York: Harper & Row, 1973. 3 Beleid gericht op het laten plaatsvinden van de certificatie door een onafhankelijke derde: ‘trusted third party’ (TTP) 4 S. Zouridis, M. Thaens, J. Kielema, S. van der Hof, Een open tunnelvisie. Evaluatie van het TTP-beleid, Tilburg, 2004. 5 S. Zouridis, Het incident als bestuurlijke uitdaging, in: Openbaar Bestuur, no 9, 2006, pp. 2-5. 6 M. Hoogwout, De rationaliteit van de klantgerichte overheid, Nieuwegein: Reunion, 2010. 7 Zie https://www.ibdgemeenten.nl/producten/strategische-en-tactische-big/ 8 Zie voetnoot 3. 9 Zie bijvoorbeeld I. Th. Snellen, Boeien en geboeid, Samson Tjeenk Willink, Alphen aan den Rijn, 1987. 10 Center for Public Innovation (i.s.m. TNO en De Waag), Toekomstig Internet. Een verkennend onderzoek naar het toekomstige internet en de gevolgen hiervan op de beleidsterreinen van BZK, Rotterdam, dec. 2012. 11 Brief met kenmerk 2013-0000306907. 12 J. Grijpink, Keteninformatisering, SDU, Den Haag, 1998. 13 WRR, iOverheid, Den Haag, 2011.

35

“Het is niet de vraag of, maar wanneer een organisatie gehackt gaat worden. Je moet weten wat je dan gaat doen.” Douwe Leguit, Manager Taskforce Bestuur en Informatieveiligheid Dienstverlening

2.

ICT: komende kansen en uitdagingen voor de overheid bert mulder

Lector informatie, Technologie en Samenleving Haagse Hogeschool

Hoewel vaak gezegd wordt dat ICT ontwikkelingen snel gaan, waren ze de laatste jaren toch ook vaak voorspelbaar: steeds meer rekenkracht, steeds kleiner, mobieler en goedkoper, betere databases, betere webontsluiting van informatie voor de klant. Die voorspelbaarheid verandert als de ICT ontwikkelingen de komende jaren van een wezenlijk ander karakter zijn. De nadruk op de techniek zal verminderen terwijl de aandacht verschuift naar informatie en kennis. De ontwikkelingen van ICT zullen in sterke mate bepaald worden door een externe factor: de demografie. Volgens schattingen van BZK (De Grote Uittocht herzien, 2013) zal het aantal overheidsmedewerkers de komende tien jaar met 40% afnemen en daarna mogelijk nog verder krimpen. Die ontwikkeling is bepalend, omdat de bijdrage van ICT aan belang wint. In het komende decennium zullen nieuwe oplossingen moeten worden gecreëerd, wil de overheid dezelfde kwaliteit kunnen leveren als zij vandaag doet. Nieuwe oplossingen richten zich niet op dingen beter doen of de dingen Foto: VanderWolf Images / Shutterstock.com

anders doen, maar op wezenlijk andere dingen doen. Binnen de overheid betekent het een andere inrichting van de organisatie met nieuwe en intensieve samenwerkingsrelaties met andere partners, zoals burgers. Niet alleen als afnemers van producten, maar als partners in het anders realiseren van oplossingen op het gebied van beleid en bestuur, diensten en uitvoering en de kwaliteit van leven in de samenleving. Buiten de overheid wordt ICT een essentieel element in het faciliteren van eigen regie en eigen verantwoordelijkheid van burgers. Dat ontwikkelen van de kracht van de samenleving – ‘de participerende samenleving’ – is essentieel om de kwaliteit van leven te kunnen blijven

37

ondersteunen. Zoals twee decennia geleden het bezit van PC’s en de toegang tot internet werden

brede beschikbaarheid van dergelijke big data is er het gevaar van een te eenvoudige opvatting en

gestimuleerd, zal nu het strategisch gebruik van ICT mogelijkheden om de kwaliteit van het eigen

toepassing van big data en het ontstaan van ‘data driven government’ waarbij er te veel vertrouwen

leven te verbeteren moeten worden gestimuleerd. Daarmee is het realiseren van de mogelijkheden

in data ontstaat als basis voor sturing. Big data is een belangrijke ontwikkeling, maar op dit moment

van nieuwe ICT trends die hierna worden beschreven essentieel voor zowel de transformatie van de

zijn het de nationale overheden, zoals de Amerikaanse regering, die beleid hebben geformuleerd en

eigen overheid als die van de samenleving.

investeren in onderzoek naar big data omdat zij verwachten dat analyse hen uiteindelijk kan helpen bij het oplossen van problemen. Pas op langere termijn zal big data ook voor lagere overheden zelf

Er zijn drie trends die de aandacht van de overheid vragen: • Slimme gegevens:

van praktische betekenis worden. Open data

de toenemende hoeveelheid informatie en big data, open data en

Open data is het ter beschikking stellen van collecties basisgegevens aan derden voor [her]gebruik

een transparante overheid

naar eigen inzicht. Het is een ontwikkeling waarbij de data worden losgekoppeld van de eigen

• Het slimme web:

dienstverlening en derden in staat gesteld worden zelf diensten te ontwikkelen. Voor de overheid



krijgt de aandacht voor open data, al enkele jaren een belangrijk beleidsthema, een sterke stimulans

web 3.0, web 4.0 en de overgang van informatie naar kennis

• De slimme wereld: het internet der dingen, smart cities en ‘the quantified self’

bij het aantreden van de regering Obama. Hij verklaart ‘open data’ één van de centrale elementen in een transparante ‘open overheid’ die gebaseerd is op drie fundamentele principes: Ten eerste moeten burgers in een goed functionerende democratische samenleving weten wat hun

Slimme gegevens: de toename van de hoeveelheid informatie en big data

overheid doet: transparantie. Dat betekent niet alleen toegang tot gegevens, maar ook de mogelijk-

De verwachting is dat de hoeveelheid informatie op het internet in 2020 veertig maal zo groot is

heid die gegevens zelf opnieuw te kunnen en mogen gebruiken voor nader onderzoek en analyse.

als vandaag. Daarmee verschuift de aandacht van het genereren van meer informatie naar het or-

Ten tweede zijn gegevens de sleutel tot het realiseren van sociale en commerciële waarde. Veel

denen en betekenisvol ontsluiten daarvan. Kwalitatief hoogwaardige informatie ontstaat door het

diensten vereisen toegang tot gegevens, die vaak in het bezit zijn van de overheid: zoals cijfers rond

selecteren, verbinden en presenteren van informatie zodat die betekenisvol wordt voor gebruikers,

gezondheid in de samenleving of het kunnen vinden van gebouwen. Open data is de grondstof voor

of die gebruikers nu eigen medewerkers zijn of burgers. In een participerende samenleving, waarin

de innovatie van diensten met sociale en commerciële waarde. Ten derde kunnen burgers door de

burgers afhankelijk zijn van die kwaliteit voor hun gezondheid, zal de zorg voor goede informatie

toegang tot en het werken met data makkelijker participeren in de overheid. Niet alleen omdat ze

de aandacht van overheden vragen.

daardoor weten wat de overheid doet, maar ook omdat ze daaraan kunnen bijdragen. De Nederlandse overheid stelt vast dat open data openbaar zijn, bekostigd uit publieke middelen, bij voorkeur

Big data is de aanduiding voor een nieuwe klasse van gegevens die zich kenmerkt door drie ei-

voldoet aan open standaarden en leesbaar moeten zijn door een computer.

genschappen: de omvang van de gegevens, de snelheid waarmee deze worden gegenereerd en de complexiteit ervan. Voorbeelden van big data zijn de reisgegevens van het openbaar vervoer,

Een goed voorbeeld van de mogelijkheden van open data is de trein app, die in 2008 door een stu-

verkeersbewegingen, telecomdata, gebruiksgegevens van social media, metingen van lucht-, ge-

dent in twee weken gemaakt wordt en gebruik maakt van de vertrek- en aankomsttijden gegevens

luids- en waterkwaliteit. Het analyseren van big data kan leiden tot een beter inzicht in achterlig-

van de NS. De gebruiksvriendelijke app wordt tienduizenden keren gedownload en is het eerste

gende factoren en een betere aanpak van problemen, de richting van ontwikkelingen voorspellen,

voorbeeld van een buiten¬staander die op eigen initiatief en onverwacht nieuwe digitale dienst-

inefficiënties in processen laten zien. Zo kan de griep dienst van Google op basis van analyse van

verlening creëert op basis van data van anderen. De NS overweegt juridische stappen, maar houdt

de miljarden zoekopdrachten, eerder dan artsen voorspellen dat een griep epidemie in aantocht

zich in. Diezelfde reactie ontstaat bij ‘open kvk’ een app die gratis toegang heeft tot de data van de

is. Hoewel big data kan leiden tot nieuwe inzichten, is er daarbij een duidelijk verschil tussen

Kamers van Koophandel. Misschien in het belang van burgers, maar ook op gespannen voet met

causaliteit en correlatie. Zo blijkt na analyse van alle data uit de verkeerslussen in Nederland, dat

het business model van de organisatie. Toch kan het belang van dergelijke ontwikkelingen groot

de verkeerbewegingen van één enkele verkeerslus op de A15 bij Rotterdam vrijwel één op één

zijn, niet alleen in het creëren van betere en snellere dienstverlening. Wanneer de staat Californië

correleren met de stand van de Nederlandse economie. Het is duidelijk dat een dergelijk patroon

financieel uitgeput is, vraagt zij haar inwoners om zelf apps te maken die diensten voor burgers

in de data geen aanduiding geeft over de mogelijke causaliteit tussen verschillende factoren. Bij

kunnen realiseren.

38

39

“Zicht op kwetsbaarheid is ruimte voor informatieveiligheid.”

Foto: Nick_Nick Images / Shutterstock.com

Henny Den Bieman, Gemeentesecretaris Houten

In de context van ‘open data’ is er de laatste jaren vraag uit de samenleving naar ‘open spending’,

Het intelligente web: web 3.0 – het semantisch web

waarbij door het stimuleren van de ontsluiting van financiële informatie van overheden een trans-

Na de introductie van het eerste publieke internet in Nederland in 1994 kenmerkt het internet zich

parantere en efficiëntere overheid zou kunnen ontstaan. Het beschikbaar stellen van deze gegevens

elk decennium door een nieuwe fase. In de eerste fase (web 1.0) richt het zich op het online presen-

is complexer en minder vanzelfsprekend. Er is internationaal aandacht voor deze trend: de website

teren van informatie terwijl in de tweede fase (web 2.0) de ontwikkeling is gericht op het verbinden

openspending.org stelt online 300 datasets uit 70 landen ter beschikking. Binnen Nederland is open

van mensen en het online kunnen produceren en delen van informatie. Daarbij behoren Nederlan-

spending nog niet sterk ontwikkeld en één van de relatief eenvoudige beschikbare voorbeelden is

ders tot de wereldtop in het gebruik van social media. Voor de overheid betekende die ontwikkeling

de begroting van het stadsdeel Centrum van Amsterdam. De politieke wens om open spending te

aandacht voor de dialoog tussen burger en overheid, het digitaal betrekken van burgers bij beleid

realiseren blijft, en in de komende jaren zullen ongetwijfeld meer overheden hun begrotingen en

en in de participerende samenleving voor online gemeenschappen rond zorg, het uitwisselen van

uitgaven online presenteren.

kleine diensten en vrijwilligers. Het komende decennium (web 3.0) worden computers in staat gesteld om de betekenis van teksten te kunnen definiëren, begrijpen en afleiden. Als daarmee de

Open data is een belangrijke en blijvende ontwikkeling voor overheden. Een aantal overheden

aandacht verschuift naar het verbinden van kennis en concepten ziet het internet zoektermen niet

formuleerden een actief ‘open, tenzij…’ beleid voor hun data, maar de uitwerking daarvan is weer-

enkel meer als een reeks letters maar nu als een concept met omschreven eigenschappen. Dat maakt

barstig. Terugkerende reserves van de beheerders van data collecties rond het beschikbaar stellen

het mogelijk dat het internet niet langer documenten met elkaar verbindt, zoals webpagina’s, maar

van hun bestanden betreffen de mogelijke gevolgen voor de privacy van burgers, de inspanningen

individuele begrippen. Die verschuiving van informatie naar kennis zorgt er voor dat de kwaliteit

die nodig zijn, het onderhoud, de rechten en soms het veranderende verdienmodel.

van online zoeken sterk kan verbeteren. Door de slimme analyse van de zoekvraag kunnen zoekresultaten beter op de vrager worden afgestemd, wat een groot voordeel kan zijn wanneer patiënten

Andersom is de interesse bij de burger lang niet altijd aanwezig. Bij navraag blijken deze vaak

medische informatie zoeken, studenten opleidingen die zij kunnen gaan doen of burgers welke

niet in staat om aan te geven waarom en hoe zij gegevens zouden willen gebruiken. Het enkel be-

diensten zij het best kunnen gebruiken.

schikbaar stellen blijkt (nog) niet genoeg en vaak moeten betekenisvolle toepassingen voor burgers ontwikkeld worden om open data te laten gebruiken. Recent zijn verschillende gemeenten stimule-

Waar overheid 2.0 zich richtte op ‘gegevens’ en ‘dialoog’ zal overheid 3.0 zich richten op het

ringsprogramma’s gestart. Daarbij hoort het stimuleren van de ontwikkeling van open data binnen

digitaal in kaart brengen van concepten en de basis leggen voor netwerken van kennis. Het is de

de eigen organisatie, in casu het ondersteunen van medewerkers om de door hen beheerde collecties

ontwikkeling van een slimmere overheid die niet alleen data, maar nu ook kennis ter beschikking

openbaar te maken. Dat kan door organiseren van ondersteuning op de juridische, technische, or-

kan stellen. Het vereist wel dat de concepten die de processen en diensten van de overheid bepalen,

ganisatorische en inhoudelijke aspecten van open data. Deel daarvan vormt natuurlijk de toets op

zo beschreven moeten worden dat ze deel gaan vormen van het semantisch web. Het is een ontwik-

veiligheid voor personen of publieke belangen, maar bijvoorbeeld ook het creëren van een online

keling die niet direct door overheden zelf plaatsvindt, maar die als nieuwe faciliteit in door haar

platform waarop medewerkers datasets ter beschikking kunnen stellen, of gebruik maken van het

gebruikte applicaties zal moeten worden geïmplementeerd.

landelijke platform data.overheid.nl om de eigen datasets ter beschikking te stellen. Web 4.0 Het gezamenlijk of afzonderlijk diensten ontwikkelen op dezelfde data zou burgers en overheden

De netwerken van kennis, die in web 3.0 zijn gevormd, worden in web 4.0 actief bewerkbaar. Het

dichter bij elkaar kunnen brengen. Maar gegevens worden verzameld met een doel, en de aandacht

kunnen werken met entiteiten legt de basis voor programmeren met concepten, soms ‘concept

van burgers kan elders liggen dan die van het openbaar bestuur. Het is de ontmoeting tussen de

computing’ genoemd. Eerste voorbeelden van het programmeren met kennisconcepten, zoals de

systeemwereld en de leefwereld, en de verbinding daartussen is niet altijd vanzelfsprekend. Daarbij

Wolfram language, verschijnen op dit moment. Daarbij kan de vraag ‘ligt de totale bedrag aan

komt dat het openstellen van data niet altijd leidt tot meer betekenis of meer transparantie: soms

uitkeringen van alle werklozen nog binnen de begrotingskaders’ automatisch door de computer

moeten data geïnterpreteerd worden op basis van ervaring of in relatie met andere gegevens. Voor

worden begrepen, om vervolgens ook automatisch vertaald te worden in een reeks zoekvragen en

een zinvolle toepassing moet die context dan beschikbaar gemaakt kunnen worden.

berekeningen die tot het antwoord leiden. Bij web 4.0 wordt het web voor gebruikers intelligent en lijkt het alsof een digitale butler diensten vormgeeft op basis van eerder digitaal gedrag. Hoewel

Het beschikbaar stellen van data en de ontwikkeling van apps om die te ontsluiten, zal de komende

deze ontwikkeling nog verder weg ligt, ontstaan hier mogelijkheden voor ‘model driven govern-

jaren nog een ontwikkeling moeten doormaken om te kunnen leiden tot transparantie, inzage in de

ment’. Zo kan op dit moment het Nederlandse bedrijf Be Informed complexe vergunning systemen

doelmatigheid van het opereren van de overheid en effectieve participatie in besluitvorming.

realiseren enkel door het beschrijven van de verschillende constraints en voorwaarden zonder dat

42

43

zij daarbij de gebruikte procedures uitputtend hoeven te beschrijven. Vanuit die definities wordt

bij is elke paal opgenomen in een glasvezelnetwerk. Overheden creëren met het thema ‘smart city’

het totale systeem automatisch gegenereerd. Dergelijke constraint gebaseerde systemen schalen

een generiek beleidsthema waaronder een aantal van bovenstaande thema’s worden verzameld. Het

automatisch mee met groeiende belasting en kunnen nieuwe juridische en politieke ontwikkelingen

vestigt de aandacht en focust mogelijke investeringen, maar als zodanig voegt het inhoudelijk weinig

direct en zonder verdere aanpassing volledig integreren. Bij het creëren van en werken met infor-

toe aan al bekende ontwikkelingen. Het ‘internet der dingen’ zal zich sterk ontwikkelen en bij kunnen

matiesystemen werken gebruikers, maar ook ontwikkelaars, op een hoger niveau.

dragen aan betere dienstverlening en de kwaliteit van leven, zowel op stedelijk niveau als in organisaties en de persoonlijke leefomgeving.

Het intelligente internet en de beschikbaarheid van slimme data creëert een nieuwe situatie. Burgers zijn in staat, door de combinatie van het intelligente web, door nieuwe op kennis gebaseerde pro-

Quantified self

grammeertalen en door het samenstellen van componenten, om zelf nieuwe toepassingen te maken

Dezelfde sensor gebaseerde ontwikkeling zien we in de persoonlijke leefomgeving om vitale waar-

met een relatief lage inspanning. Kennis is niet langer opgesloten in databases of in platformen,

den te registreren en te verzamelen: bloeddruk, bloed¬door¬stro¬ming, ECG, EMG, glucosegehalte.

maar vrij beschikbaar. Systemen verzamelen zelf informatie over het gebruik door gebruikers en

Fietsers kunnen alle lichaamsdata en de gegevens over de route, gereden snelheid en hellingshoek

kunnen zo leren. Zij kunnen zich, anders dan nu, voortdurend aanpassen aan veranderende be-

van hun rit op het internet verzamelen waarna speciale software analyses maakt van conditie en nieu-

hoeften. De onderliggende technische infrastructuur is in toenemende mate in staat om zichzelf te

we oefenschema’s suggereert. Individuele gebruikers verzamelen grote hoeveelheden data, op basis

beheren en aan te passen. Beveiliging is ingebouwd op elk niveau van systemen: het netwerk, de

daarvan krijgen bewoners advies over hun gezondheidstoestand en de manier waarop zij die kunnen

servers, alle verschillende apparaten, elke applicatie en elke dataverzameling. Dat geldt ook voor

verbeteren.

het beheer van eigendom en autorisatie. Voor overheden betekent het de aandacht voor ‘de fabriek’ verdwijnt: in de informatiehuishouding verschuift de aandacht van technische aspecten naar meer

Voor overheden is deze ontwikkeling interessant en van belang omdat de komende jaren burgers

kennis gerelateerde en inhoudelijke aspecten. Ook kunnen complexe procesgangen makkelijker en

steeds vaker zelf zorgen voor hun gezondheid en dat langer thuis zullen doen. Het betekent dat chro-

meer automatisch door minder mensen worden ingericht en afgehandeld.

nisch zieken, gehandicapten en ouderen in toenemende mate in hun ziekte en gezondheid ondersteund zullen worden door op hen gerichte oplossingen die gebruik maken van sensoren, apps en internet-

De intelligente wereld: the internet of things

diensten.

‘Internet of things’ is het toevoegen van sensoren aan de fysieke werkelijkheid en die objecten verbinden met het internet. De trend is terug te herkennen in gebouwen als domotica, in transport als intel-

Die ontwikkeling kent verschillende uitdagingen. De digitalisering van de persoonlijke leefomgeving

ligente voertuigen en in de toekomst in de stad in parkeerplaatsen en –meters en vuilnisbakken. In de

is essentieel voor een samenleving waarin zelf thuis zorgen de basis vormt. De kwaliteit van die digi-

persoonlijke leefomgeving betekent het digitale intelligentie voor televisie, koffie apparaat, koelkast,

tale omgeving is bepalend voor haar succes. Maar de huidige ontwikkelingen resulteren in een groot

thermostaat. In auto’s, waarin het aantal digitale sensoren al jarenlang toeneemt, leidt deze ontwikke-

aantal verschillende individuele oplossingen, die niet met elkaar communiceren, gebruik maken van

ling nu tot zelfsturende voertuigen. In supermarkten betekent het dynamische prijsaanduidingen op

verschillende achterliggende diensten op het internet. Voor ouderen, die elk gemiddeld vier aandoe-

de schappen, beweegmelders in kratten die bij vervoer van fruit de beweging monitoren. En net zoals

ningen hebben, betekent het dat zij tientallen apparaten, toepassingen en webdiensten gebruiken om in

in de retail sector fruit weet wat het is en waar het is, weet in een kantooromgeving een ordner ook

hun gezondheid te voorzien. Op de schaal van 7 miljoen huishoudens betekent dit een geheel nieuwe

wat hij bevat en waar hij is.

complexiteit, schaal en kwaliteit, waarvoor op dit moment niet of nauwelijks aandacht is.

Internet of things kan dienstverlening verbeteren, bijvoorbeeld wanneer vuilverzamelplaatsen zelf aan

Slimme gegevens, het intelligente web en de intelligente wereld creëren nieuwe kansen maar ook

kunnen geven wanneer ze geleegd moeten worden, of parkeerplaatsen zelf dat zij onbezet zijn. De

nieuwe uitdagingen voor de overheid. Die nieuwe kansen zullen moeten worden gerealiseerd in de

gemeente Eindhoven heeft recentelijk de enige snuffelpaal die zij rijk was vervangen door honderd

context van de demografische ontwikkelingen, waarin de overheid (en naar verwachting ook het on-

nieuwe sensoren die 24 uur per dag verschillende elementen van luchtkwaliteit meten. De verwach-

derwijs en de zorg) zal bestaan uit een sterk kleiner aantal medewerkers. De overheid zal bij al deze

ting is dat verkeersborden zelf communiceren naar voertuigen over de op deze locatie geldende be-

ontwikkelingen betrokken zijn en belang hebben, soms direct en soms indirect, omdat het haar eigen

perkingen. Mochten sensoren op grote schaal in de stedelijke omgeving gebruikt gaan worden, moet

functioneren en de kwaliteit van leven in de samenleving sterk zal faciliteren. Er ontstaat een andere

er een ondersteunende infrastructuur beschikbaar zijn. KPN heeft al enkele jaren geleden een concept

manier van leven en werken die meer dan nu gefaciliteerd wordt door digitale toepassingen en infor-

ontwikkeld van een lantaarnpaal die naast licht een communicatie- en informatiefunctie vervult. Daar-

matie, en die daarmee bepalend zal zijn voor de komende transformatie van de samenleving.

44

45

3.

Open technologie als voorwaarde voor vertrouwen marleen stikker

Directeur van de Waag Society Amsterdam

Onder Berlin-Mitte ligt een gecrasht ruimtestation dat in 1995 is opgegraven en sindsdien huis biedt aan C-base, de ‘moeder aller hackerspaces’. De toegangsdeur in het huizenblok aan de Spree geeft haar geheimen niet prijs. Binnen is er geen ontkomen aan. Muren, gangen, plafonds, je wordt omgeven door computers, dashboards en displays uit vervlogen tijden. In de diverse ruimtes zijn laboratoria ingericht, ontmoetingsplekken en werkplaatsen. Het verhaal gaat dat de dichtbijgelegen televisietoren op Alexanderplatz ondergronds verbonden is en dienst doet als antenne van het ruimtestation. In de halfduistere ruimte, verlicht door computerdisplays en schakelaars, kun je een biertje drinken, workshops volgen, hardware tweaken en software ontwikkelen. Een walhalla voor nerds, en die zijn er inderdaad in ruime mate. Maar niet iedereen die hier rondloopt is een stereotiepe nerd. De avond dat ik C-base bezoek, zijn er journalisten, ambtenaren, kunstenaars, en vertegenwoordigers van NGO’s. Mensen die zich meer dan gemiddeld hebben verdiept in technologie vanuit de overtuiging dat die kennis nodig is om strategisch te kunnen overzien wat de impact van technologie is op onze samenleving. De gezamenlijke taal die er wordt gesproken gaat over open overheid, open technologie, digitale sociale innovatie, gedistribueerde netwerken, transparantie en net-politiek. Zou dit de voorbode kunnen zijn van de dialoog waar Maxim Februari in zijn Kousbroeklezing Alfa: over auto’s, bèta’s en technologie kritiek om vraagt. Februari constateert een grote kloof tussen de wereld van de beta’s en de alfa’s. Technologie wordt steeds complexer. De dingen worden

47

slim en gaan ons bijten. Hij schrijft: “Binnenkort maken meer dingen dan mensen gebruik van het

dat sommige mensen daar slimmer in zijn dan wij. In het tweede geval kijken we neer op de wijze

internet om achter onze rug om met elkaar over ons te praten en om beslissingen over ons te nemen.

waarop we in de wereld interveniëren. Ingenieurs worden beschouwd als de klusjesmannen van de

We hebben geen idee wat dingen gaan denken en doen. Hoe maken we iets veilig als we niet weten

informatiesamenleving. Ze maken de fysieke wereld slimmer door er wat ICT aan toe te voegen.

wat ze gaan doen?’

Het grote misverstand is dat technologie beschouwd wordt als een neutrale kracht waarmee de werkelijkheid wordt verrijkt. ICT wordt niet gezien als een ontwerpende kracht die een samenleving

Zijn zorg betreft het dedain waarmee alfa’s zich distantiëren van technologie en verwijst naar Kous-

definieert. Technologieën zijn artefacten die door mensen in de wereld worden gebracht. Anders

broeks opvatting dat alfa’s in het domein van de techniek en technologie niets te zoeken hebben.‘

dan natuurwetten zijn technologieën culturele artefacten. Technologie moet niet zozeer menselijker

Tegelijkertijd realiseren bèta’s zich onvoldoende dat technologie niet neutraal en met waarden ge-

gemaakt worden, we moeten de menselijke hand in technologie gaan onderkennen. Wat alfa’s en

laden is. Hij illustreert het met het beeld van de slimme auto die zelfstandig een afweging maakt

beta’s beiden moeten gaan inzien is dat technologie een ontwerp is waarbij belangen worden inge-

tussen een schoolbus in gevaar brengen of de eigen berijder op te offeren. Welke moraal heeft

bracht en keuzes worden gemaakt die een normatief karakter hebben. We moeten de belangen bloot

de auto geprogrammeerd gekregen? Maxim Februari pleit voor een alfavisie op technologie. Het

leggen om zicht te krijgen op de onzichtbare hand in de technologische infrastructuur.

wordt hoog tijd actie te ondernemen. De mens moet zijn politieke vrijheden opeisen en menselijke waarden opleggen aan de techniek.

Op een aantal plekken is de brug tussen de twee culturen reeds gelegd. Allereerst door de hackersbeweging. Deze heeft al vroeg onderkent dat technologie niet neutraal is en dat in codes, algoritmen

Het pleidooi kreeg veel bijval. Eindelijk krijgen alfa’s een prominente rol om die arrogante beta’s

en protocollen expliciete politieke keuzes aanwezig zijn. C-base en de vele andere hackers- en

van repliek te dienen. Werd het ook omarmd door bestuurders en politici? Als we onze politieke

makerspaces en -conferenties die zijn ontstaan in de afgelopen twintig jaar hebben een interdis-

vrijheid gaan opeisen dan kunnen we toch bouwen op onze volksvertegenwoordigers? Er is weinig

ciplinaire praktijk opgebouwd. Ook de conferenties en bewegingen rond open overheid als Open

reden tot optimisme. Ton Elias, voorzitter van de tijdelijke ICT-commissie weet, bevraagd door

Knowledge Foundation en Res Publica geven blijk van een maatschappelijke kijk op technologie.

PowNews, niet wat een IP-adres is. Dat is alsof de voorzitter van de Telecomcommissie niet weet

Is dit nieuwe denken misschien nog niet voldoende doorgedrongen tot de massamedia en de be-

wat een telefoonnummer is. Kamerlid Lutz Jacobi wuift de vraag ‘wat een Bcc is’ lachend weg,

stuurstafels?

mompelend ‘dat hoef ik toch niet te weten’. Maar als Kamerleden het niet eens belangrijk vinden om te weten hoe een e-mail programma werkt, hoe kunnen we er dan op vertrouwen dat ze vol-

De kern van het hackersdenken is dat technologische systemen nieuwe vormen van macht definië-

doende kennis hebben om ICT-dossiers te doorgronden, laat staan dat zij er menselijke waarden

ren. Om die systemen die ons omringen te doorgronden moet je kennis en kunde toeeigenen. Alleen

aan kunnen opleggen?

dan kun je de systemen toetsen aan rechtmatigheid en ethiek. Die kennis heb je ook nodig om alternatieve systemen te kunnen maken. De hackerspraktijk is een vorm van counter intelligence

De kloof tussen alfa’s en beta’s is ook het onderwerp van Zomergast Ionica Smeets. De wiskundige

die erop gericht is om machtsconstructies te kunnen pareren en technologie menselijk te houden.

en wetenschapsjournalist haalde in haar avondvullende televisieprogramma J.P. Snow aan, die in zijn essay ‘two cultures’ uit 1956 de strikte scheiding tussen de natuur- en geesteswetenschappen

Die visie begint ook de journalistieke wereld te bereiken. De recente Chaos Computer Conference,

als kunstmatig bestempelt en als grootste drempel ziet om wereldproblemen aan te pakken. Hij

die jaarlijks tussen Kerst en Nieuwjaar in Hamburg plaatsvindt, liet dat goed zien. Vlak voor de

vraagt zich af waarom een beta-wetenschapper zich beschaamd voelt als hij niet bekend is met het

publieke doorbraak van het internet in 1993 waren er rond de vierhonderd mensen aanwezig in een

werk van Shakespeare, maar alfa-wetenschappers zonder gezichtsverlies kunnen zeggen dat zij de

krakersbolwerk. Deelnemers waren overwegend zwart gekleed, met paardenstaarten en T-shirts

tweede wet van de thermodynamica niet kennen. Smeets toonde ook een fragment waarin gasten

met nerd-grapjes. Afgelopen jaar werd de conferentie gehouden in het Hamburgse Messe. Andere

van De Wereld Draait Door collectief afhaken bij een hoogleraar die een wiskundige vergelijking

zalen waren niet groot genoeg voor de toestroom van deelnemers. Het waren er tienduizend. En dit

probeert uit te leggen. Dat de hele studio daar smakelijk om moeten lachen, onderstreept het onge-

keer was het een heterogeen gezelschap waarbij de kern nog steeds gevormd wordt door hard core

mak dat alfa’s hebben met technologie.

hackers, maar ook een breed scala aan mensen uit de journalistiek en sociale bewegingen. Thema’s die op de agenda staan zijn open overheid, digitale sociale innovatie, privacy en netneutraliteit. De

Er is echter een groot verschil in het ongemak van alfa’s bij de uitleg van een wiskundige verge-

sterren van het congres waren de journalisten die het verhaal van Snowden naar buiten hebben ge-

lijking en het dedain die zij innemen ten opzichte van technologie. In het eerste geval worden we

bracht. Ook in Nederland zien we een aantal journalisten, met name bij De Correspondent, die zich

geconfronteerd met onze beperkte intelligentie om de wereld te begrijpen en moeten we erkennen

hebben verdiept in de achterkant van technologie en daarover van binnenuit berichten.

48

49

“Informatieveiligheid begint met bepalen wie de eigenaar van een systeem is; wie aanspreekbaar is en wie er wakker van moet liggen als het misgaat.” Gert Maneschijn, corporate security officer

RDW

Een andere beroepsgroep die van zich laat spreken zijn de juristen. De discussie over netneutraliteit

van het internet ongedaan wordt gemaakt. De oproep is niet perse gericht op hackers. Systeem-

zou ondenkbaar zijn zonder de betrokkenheid van activistische juristen en lobby-organisaties als

beheerders en beleidsmakers bij de overheid en in het bedrijfsleven worden ook aangesproken.

Bits of Freedom. Mireille Hildebrandt, hoogleraar aan de Radboud Universiteit Nijmegen weet

Het systeem moet van binnenuit worden opgeschoond. Het vertrouwen in de staat als hoeder van

overtuigend aan te tonen dat niets minder dan de rechtsstaat zelf in het geding is. Ze wijst op de

informatieveiligheid wordt zwaar ondermijnd door de onthullingen van Snowden. Doordat over-

onzichtbaarheid en onbegrijpelijkheid van algoritmes die vaak ook geheim zijn. Het grootste gevaar

heden geen blijk hebben gegeven dat ze goed geïnformeerd zijn over de aanvallen van de NSA op

ziet zij in de normatieve implicaties van technologie die gemakkelijk de normatieve kracht van

technologie is het de vraag of burgers vertrouwen kunnen hebben als dezelfde overheid eenzijdig

geldende rechtsnormen overstemmen, waardoor het geschreven recht een papieren draak lijkt te

technologieën oplegt aan haar burgers.

worden. Er zijn technologieën waar we zelf voor kiezen: Smartphones, Google, Facebook, Twitter, Whats Open

App. Er is een markt aan het ontstaan voor veilige alternatieven. Blackphone is een telefoon die

Open is het sleutelwoord om vertrouwen terug te krijgen in technologie. Dit vindt zijn oorsprong

gebruik maakt van encryptie. Fairphone is een telefoon die als missie heeft om ‘fair’ en open in de

in de Open Source beweging die software weer leesbaar wilde maken. Open betekent dat de soft-

hele productieketen te brengen. Duckduckgo is een zoekmachine die geen historie van je opslaat.

wareregels leesbaar zijn en dat je daardoor de instructies, de if-then logica kunt nalopen. Het is een

Volledig encrypte en eenvoudig te bedienen mailprogramma’s zien het licht. Ello, een geduchte

voorwaarde om software te kunnen vertrouwen. Open is de basisvoorwaarde voor een democratie.

uitdager voor Facebook, staat te trappelen in de coulissen. Er bestaat twijfel of de alternatieven

Open kennis, open overheid, open hardware, open design, open modellen. Bij een gesloten systeem

op de lange termijn het beste voor hebben met de gebruikers. Google startte ook als een bevlogen

moet je altijd de vraag stellen wie de eigenaar is. En daarbij hoort de vraag welke belangen de ei-

privacyhoeder, maar heeft in de afgelopen 16 jaar al haar beloftes op dat vlak verbroken. Het gratis

genaar heeft. Het motto van het manifest van de makersmovement formuleert het krachtig: ‘If you

businessmodel blijkt niet de beste basis te zijn voor informatieveiligheid. Als voldoende consumen-

can’t open it, you don’t own it’.

ten actief de alternatieven steunen en bereidt zijn om voor privacy te betalen kan het bijdragen aan veilige consumententechnologie.

De overheid staat onder druk. Aan de ene kant moet ze kunnen garanderen dat informatie niet op straat komt te liggen. Anderzijds wordt ze aangesproken op transparantie. En dat in het licht van de

Hoe anders is dat voor systemen die de overheid ons oplegt. Daarbij is het niet mogelijk om een

Snowden-onthullingen, die bewijzen geeft van een vergaande pervertering van informatie- en com-

alternatief te kiezen. Je kunt proberen gebruik te vermijden, maar dan word je wereld erg klein. Ik

municatietechnologie, die ons omringt. Het betreft werkelijk alle software, hardware en telecom-

zal drie voorbeelden geven waarin de overheid voor ons keuzes maakt en systemen oplegt, die onze

technologie die we in onze huizen, kantoren en overheidsystemen hebben aangebracht. Geen enke-

soevereiniteit en handelingsperspectief inperken.

le leverancier kan op dit moment garanderen dat er in de routers, servers, laptops, mobiele telefoons geen achterdeurtjes zijn verstopt die het mogelijk maken om informatie af te tappen, te veranderen

Laten we beginnen met de OV-chipkaart. Alle verplaatsingen die wij maken met het openbaar ver-

of te verwijderen. De meeste van die technologieën zijn gesloten. Dat betekent dat de overheid

voer worden opgeslagen in een database waar wij zelf slechts zeer beperkt inzicht in hebben. Het is

afhankelijk is van technologieën waar ze geen eigenaar van is. De overheid is een enthousiaste

onduidelijk wat de private partij met die data doet en waarom de data überhaupt opgeslagen moet

gebruiker van de Cloud. Daarvan weten we dat het per definitie niet veilig is. De Cloud-bedrijven

worden. Dat is nog niet alles. Hadden we in het verleden een strippenkaart waarmee je gastvrij kon

werken, of het nu vrijwillig of gedwongen is, samen met de NSA. Als het om informatieveiligheid

zijn en voor anderen kon betalen, nu is er een smartcard waarmee alleen een persoonlijke transactie

gaat is dat misschien waar we als samenleving het meest kwetsbaar zijn. Van bestuurders en politici

mogelijk is. De OV-chipkaart heeft door zijn ontwerp een ander sociaal gedrag tot gevolg. In het

mogen we verwachten dat zij uiterst zorgvuldig omgaan met de data van burgers. Op dit moment is

ontwerpproces is dit niet expliciet aan de orde geweest, omdat niemand vanuit een sociologisch-

die zorgvuldigheid niet gegarandeerd.

maatschappelijk perspectief aan tafel heeft gezeten.

Verenigt u

Veel van de nieuwe technologie wordt door Europa opgelegd. De slimme meter is daar een goed

Nog even terug naar de Chaos Computer Conference van afgelopen jaar.

voorbeeld van. Voor 2020 moet elk huishouden in Europa een slimme meter installeren. Oorspron-

10.000 toehoorders luisteren naar de oproep van Jacob Appelbaum en Julian Assange: “Systeem-

kelijk was het idee dat bij weigering je in het gevang gegooid zou worden. Dat heeft de Tweede

beheerders aller landen, verenigt u.” Er staat wat op het spel, zeggen de heren. Dit is de laatste ge-

Kamer ternauwernood weten te voorkomen. Je kunt de slimme meter dus weigeren, al weten velen

neratie die nog een handelingsperspectief heeft en ervoor kan zorgen dat de volledige surveillance

dat niet. Ook is het niet uitgesloten dat er hogere kosten in rekening wordt gebracht. In een aantal

52

53

staten in de VS is dat reeds het geval. Het is inmiddels duidelijk dat de slimme meters kwetsbaar

kennisgebieden uiteen door ze als expliciet gescheiden rich-tingen aan te bieden. Als we software

zijn voor het op afstand uitlezen door onbevoegden. Maar wat hier met name speelt is dat de meter

zien als een taal die je kunt leren schrijven, dan past dat prima in het talenonderwijs. Als je erkent

data uitleest die gedeeld wordt met onbekende bedrijven die niet publiek verantwoording afleggen.

dat technologie een ontwerp-discipline is die vergaande sociale effecten heeft dan is het vanzelf-

Het is een intelligent kastje dat we niet kunnen openen.

sprekend dat je onderwezen wordt in ethiek, recht en gedrag.

Een van de nieuwste technologieën die Europa ons oplegt is E-call. Vanaf 2016 moeten alle nieuwe

Er zijn een paar goede voorbeelden voor het lager en voortgezet onderwijs. Nieuwe vakken als

auto’s zijn uitgerust met een black box die zelfstandig hulpdiensten kan bellen. Hier is geen opt-out

lifestyle informatics duiken op. Het Fabschool curriculum, waarbij leren gebaseerd is op maakpro-

mogelijkheid; de autofabrikanten leveren de auto met e-call inside. Het toekomstbeeld dat Maxim

cessen, krijgt voet aan de grond. Cryptokids-programma’s leren kinderen onder de motorkap kijken

Februari schetst van auto’s die achter zijn rug om allerlei zaken bedisselen is over een jaar zeker-

van de alledaagse gadgets waar ze mee opgroeien. In het hoger onderwijs en universiteiten zijn

heid geworden. Opvallend is dat de discussie over de invoer van e-call in het Europese parlement

minors en masters te vinden die de verbinding leggen tussen technologie en kunst, recht en samen-

geen stof heeft doen opwaaien in Nederland. Geen media-oproer, geen Kamervragen en geen con-

leving. Het zijn de eerste schuchtere tekenen dat technologie niet meer een geïsoleerd domein dat

sumentenbond die in het geweer komt.

alleen begrepen kan worden door insiders.

Nog verbazingwekkender is dat er geen stevig debat is losgebarsten rond het con-cept van de Smart

Maar wat te doen met de generatie die nu aan de knoppen zit en onbezorgd techno-logie bestelt, cre-

City. Adam Greenfield heeft met zijn manifest ‘Against the Smart City’ voldoende munitie aan-

ëert en oplegt zonder besef te hebben van de implicaties en norme-rende effecten? Voor die mensen

gebracht. Ook Maarten Hajer en Ton Dassen hebben in hun recente publicatie ‘Slimme Steden’

is een ‘wasstraat’ nodig. Een grondige aanpak voor iedereen die beleidsmatig betrokken is met ICT

opgeroepen kritisch te kijken naar de rol van technologie in de stad. Maar daar houden ze het bij.

in de ambtenarij, politiek, bedrijfsle-ven, media en samenleving. Een wasstraat waarin ze leren wat

Ze geven geen doorwrochte analyse van de technologie zelf, geen analyse over hoe data en algo-

hardware, encryptie en algoritmen zijn. En waar ze samen met engineers en hackers leren over de

ritmen de stad veranderen. Het is toe te juichen dat uit de hoek van stedenbouw en planologie er

more-le en maatschappelijke effecten van technologie.

vraagtekens worden gezet, maar voorlopig blijft men veilig aan de zijlijn staan. Uit de hoek van sociale bewegingen is wel een weerwoord geformuleerd. De Smart Citi-zens beweging heeft een

Omdat een dergelijke wasstraat een concrete praktijk mee te geven, stel ik voor om ontwerpate-

andere visie op wat ‘slim’ is en timmert met gedegen ken-nis en concrete projecten aan de weg.

liers op te zetten voor alle technologieën die de overheid voornemens is te introduceren. In deze

Het valt echter in het niet bij de contracten die overheden sluiten met ‘Smart City’-oplossingen van

ontwerpateliers wordt vanuit diverse disciplines gekeken of, en zo ja, hoe de technologie op een

multinationals. Oplossingen die hun effectiviteit hebben bewezen in Korea of China worden aan de

verantwoorde wijze kan worden geïmplemen-teerd. Er staat een groot aantal technologieën in de rij

man gebracht in Europese steden.

die onder de loep genomen moeten worden: het herontwerp van de OV-chipkaart, het elektronisch patiëntendos-sier, de identiteitskaart, e-call, Big Data, de slimme meter en andere oplossingen voor

Al deze systemen worden geïmplementeerd vanuit de overtuiging dat het om neutra-le oplossingen

slimme steden en burgers. De ontwerpateliers moeten vooraf gaan aan de aan-bestedingprocedures

gaat die zorgen voor efficiency, veiligheid en duurzaamheid. Maar neutrale technologie bestaat niet,

en mee de voorwaarden definiëren. Als we dan ook kiezen voor het principe dat alle technologie die

weten we. Elk systeem wordt ontworpen vanuit belangen. En die belangen zijn over het algemeen

door de overheid wordt aangeschaft per definitie open en transparant van karakter moet zijn, dan

gebaseerd op geld en macht. In de basis is dat het morele kader waarmee technologie nu wordt ont-

zijn we een eind op streek om het vertrouwen in een technologische samenleving terug te winnen.

worpen. Het is niet geëxpliciteerd vanuit de gedachte dat overheden en bedrijfsleven het beste voor hebben met de mensheid. Een van de lastigste uitdagingen waar we voor staan, is hoe we de moraal discussie in technologie moeten voeren. Is het mogelijk om moraal te codificeren? En hoe zorgen we dat mensen goed zijn toegerust om aan dat ge-sprek deel te nemen? Niet alleen bestuurders en politici, maar ook gewone burgers? Ontwerp ateliers In zijn essay ‘two cultures’ komt Snow met de conclusie dat de oplossing in het over-bruggen van de alfa’s en beta’s ligt in het onderwijs. Ik sluit me daarbij aan. Het on-derwijssysteem drijft de

54

55

4.

Privacy, informatieveiligheid en een onzichtbare medaille bert-jaap koops

Hoogleraar regulering van technologie, Universiteit van Tilburg

Inleiding Informatieveiligheid beschermt informatie (of eigenlijk breder: gegevens), privacy beschermt persoonsgegevens (of eigenlijk specifieker: persoonsinformatie). Informatieveiligheid en privacy hebben daarom veel met elkaar gemeen. Is privacy (bescherming persoonsgegevens) misschien een deelverzameling van informatieveiligheid (bescherming van alle gegevens)? Dat nu ook weer niet. Vaak gaan privacy en informatieveiligheid hand in hand, maar soms ook niet. Kijk bijvoorbeeld naar de vragen die rijzen binnen de 3D-operatie van de decentralisaties van jeugdzorg, werk en inkomen en zorg aan langdurig zieken en ouderen. Enerzijds is decentralisatie een geschikte techniek binnen informatieveiligheid: je spreidt risico’s door gegevens in veel kleine vergaarbakjes op te slaan; deze zijn immers een minder aantrekkelijk doelwit voor hackers dan één grote vergaarbak, en de schade is kleiner als er toch wordt ingebroken. Anderzijds ontstaan zorgen voor de privacy door decentralisatie: zullen gemeenten voldoende zorgvuldig omgaan met deze vaak gevoelige persoonsgegevens? En in welke

Foto: Anton Havelaar / Shutterstock.com

mate mogen persoonsgegevens worden gedeeld binnen gemeentelijke netwerken om dienstverlening te verbeteren? Uit het oogpunt van informatieveiligheid moet je terughoudend zijn met het delen van informatie: meer kopieën bij een veeltal van actoren betekent meer schakels en meer kwetsbaarheden. Uit het oogpunt van privacy lijkt terughoudendheid met delen op het eerste oog ook gewenst, maar bij nadere beschouwing hoeft dat niet zo te zijn: de privacywetgeving staat—binnen de grenzen van proportionaliteit—delen toe als er een goede grondslag voor is, mede omdat het mogelijk leidt tot een adequater beeld van iemand, waardoor zorgvuldiger beslissingen mogelijk worden.

57

Het is daarom interessant om nader te beschouwen hoe privacy en informatieveiligheid zich tot

Hoewel informatieveiligheid aldus een complexer vraagstuk is geworden, doet dat niet af aan de

elkaar verhouden. In dit essay onderzoek ik in welke mate ze samengaan, als twee kanten van

relatieve duidelijkheid van het begrip: het gaat nog steeds om het veiligstellen van de onderliggende

een medaille, en in hoeverre ze uit elkaar lopen als mogelijk conflicterende belangen.

belangen van vertrouwelijkheid, integriteit en beschikbaarheid van informatie.

Uit mijn argumentatie zal blijken dat er vooral een synergie bestaat, en dat die synergie ons iets

Wat is privacy?

vertelt over waarom beide belangrijk zijn in de informatiemaatschappij. Privacy en informatieveiligheid hebben in elk geval gemeen dat de overheid op beide vlakken, al dan niet terecht,

Privacy is een relatief minder helder begrip, en daarom is het goed hier wat langer bij stil te staan

geen al te beste reputatie heeft. Een beter begrip van de ratio van privacy kan helpen om het be-

voordat we de verhouding tussen privacy en informatieveiligheid bekijken. Het is haast een ge-

lang van informatieveiligheid beter te onderkennen en daarmee serieus te nemen, en omgekeerd

meenplaats geworden om te zeggen dat privacy niet te definiëren valt en dat er talloze definities in

kan een goed begrip van informatieveiligheid de overheid helpen om beter te begrijpen waarom

omloop zijn. Dat mag waar zijn, maar de meeste definities hebben wel een kern gemeen: privacy

privacy belangrijk is in het informatietijdperk.

duidt een bepaalde privésfeer aan (de ‘persoonlijke levenssfeer’ van artikel 10 Grondwet) waarbinnen de overheid niet—tenzij met goede redenen en met voldoende waarborgen omkleed—binnen

Begripsbepaling

mag dringen. Die privésfeer heeft niet alleen te maken met informatie (de persoonsgegevens die in artikel 10 lid 2-3 Grondwet worden beschermd), maar heeft ook een fysieke dimensie (lichamelijke

Wat is informatieveiligheid?

integriteit, artikel 11 Grondwet), een ruimtelijke dimensie (het huisrecht, artikel 12 Grondwet) en een relationele dimensie (het correspondentiegeheim, artikel 13 Grondwet). Het is daarom te be-

Informatieveiligheid is een relatief helder begrip: het duidt aan dat de vertrouwelijkheid, inte-

perkt om privacy alleen te zien als informationele privacy, hoewel in de volksmond (en trouwens

griteit en beschikbaarheid van informatie (of gegevens) moet worden gewaarborgd. Daarmee

ook in de volksvertegenwoordigersmond) ‘privacy’ en ‘bescherming van persoonsgegevens’ vaak

zijn de belangen die ten grondslag liggen aan informatieveiligheid duidelijk: informatie moet

als synoniemen worden gebruikt. Gezien het onderwerp van dit essay zal ik niettemin aansluiten

niet (zonder reden) op straat komen te liggen, je moet kunnen vertrouwen op informatie en je

bij dit spraakgebruik en vooral kijken naar informationele privacy, maar het is goed om in het ach-

moet bij informatie kunnen. Dat zijn basisvoorwaarden voor een goede informatiehuishouding

terhoofd te houden dat privacy meer facetten heeft: het gaat om alles wat, letterlijk of figuurlijk,

en dus bestaansvoorwaarden voor de informatiesamenleving.

‘dichtbij’ mensen van vlees en bloed komt, en niet alleen om de digitale representatie van deze mensen.

Dat wil overigens niet zeggen dat het altijd duidelijk is hoe informatieveiligheid vorm moet krijgen. We leven in een aanzienlijk complexe—meer vernetwerkte en verknoopte—wereld dan een

Dat gezegd zijnde, wat is dan informationele privacy? Wat mij betreft komt het vooral neer op

paar decennia terug, toen informatieveiligheid op de kaart werd gezet. Toen heette het overigens

een stelsel fatsoensnormen voor de omgang met persoonsgegevens, die waarborgen dat wanneer

nog informatiebeveiliging. Nu zijn veiligheid (safety) en beveiliging (security) nauw verwante

mensen niet in de fysieke werkelijkheid (met directe menselijke interactie), maar via digitale repre-

begrippen, maar ze leggen wel een verschillende nadruk. Beveiliging ziet meer op bescherming

sentatie worden behandeld, deze behandeling netjes en zorgvuldig plaatsvindt. In databanken heb

tegen schade ontstaan door (vaak opzettelijke maar mogelijk ook niet-opzettelijke) handelingen

je nu eenmaal geen sociale omgangsvormen die zich binnen fysieke interacties hebben ontwikkeld,

van mensen, terwijl veiligheid meer te maken heeft met bescherming tegen schade ongeacht de

zoals met twee woorden spreken en de juiste persoon aankijken als die aan de beurt is. De digitale

oorzaak, dus ook schade door niet-menselijke oorzaken, zoals natuurrampen. In die zin is vei-

fatsoensnormen die zijn vastgelegd in de persoonsgegevenswetgeving zijn (althans in hun basis-

ligheid een ruimer begrip dan beveiliging. En hoewel bescherming tegen natuurlijke oorzaken

vorm, zoals in de OESO-richtlijnen1) relatief simpel: data moeten alleen voor welbepaalde doelen

(overstromingen, kabels doorknagende knaagdieren) ook wel tot informatiebeveiliging werd

worden verzameld en alleen voor die doelen worden gebruikt; data moeten voldoende accuraat en

gerekend, lag de nadruk in het verleden toch meer op maatregelen tegen menselijke aanvallen

actueel zijn; ze moeten afdoende worden beveiligd; de verwerking ervan moet transparant en ver-

of falen. In dit opzicht is informatieveiligheid ook complexer geworden, omdat het een integrale

antwoordbaar (‘accountable’) zijn; en individuen moeten inzage hebben in hun gegevens en waar

vorm van veiligheid van informatie suggereert. Wil men informatie voldoende veiligstellen, dan

nodig om correctie of verwijdering kunnen vragen.

vergt dat een integrale risicoanalyse van alle mogelijke oorzaken van schade aan informatie, binnen de hele, complexe context van risico’s waaraan informatie in de netwerksamenleving

Deze fatsoensnormen hebben niet altijd met de privésfeer te maken: sommige persoonsgegevens

blootstaat.

zijn breed beschikbaar, zichtbaar, en weinig privacygevoelig. Toch is er een sterke correlatie, en

58

59

“Het is vanzelfsprekend dat je als gemeente goed omgaat met informatie die jou is toevertrouwd.” Jan Fraanje, Gemeentesecretaris Boxtel

daarom gaat het toch om informationele privacy: in sommige contexten kan ook een onschuldig

mag bij de behartiging van publieke belangen ook in de privésfeer worden getreden—maar alleen

persoonsgegeven—geslacht, leeftijd, haarkleur—invloed hebben op hoe de persoon wordt be-

waar het nodig is. Voor de vraag of privacy in het geding is, maakt het daarom niet uit of je wel

handeld, en daarmee kan de privésfeer wel degelijk in het geding zijn. Privacy is een belangrijke

of niet iets ‘te verbergen’ hebt, dus of je al dan niet privacygevoelige dingen aan het doen bent

onderliggende reden voor een fatsoenlijke omgang met persoonsgegevens. Twee theorieën rond

binnen je privédomein; het gaat erom of er vanuit de publieke sfeer in de privésfeer wordt bin-

privacy die mij erg aanspreken, kunnen dat illustreren.

nengekeken, en wanneer dat het geval is, moet dit binnenkijken worden gelegitimeerd, ongeacht of er iets privacygevoeligs wordt gezien. Ook dit verklaart het belang van dataminimalisatie in

Ten eerste heeft privacy te maken met identiteitsontwikkeling. Philip Agre omschrijft privacy als

de publieke sector: de overheid mag persoonsgegevens van burgers verwerken (en dus in de pri-

de bescherming tegen onredelijke beperkingen om je identiteit vorm te geven. Privacy betekent

vésfeer treden), maar alleen voor zover het nodig is voor welbepaalde doelen van publiek belang.

dat je moet kunnen zijn wie je zelf wilt zijn (binnen redelijke kaders, je moet niet een serieverkrachter willen zijn), in plaats van een door de omgeving opgedrongen dwangbuis van hoe een

Dat betekent ook dat de vaak geponeerde stelling dat niet het verzamelen maar alleen het ge-

ideale burger, consument of werknemer eruit hoort te zien. Wanneer je persoonsgegevens worden

bruiken van persoonsgegevens een privacyinbreuk oplevert, onjuist is. Ook het verzamelen zelf

gebruikt op een manier dat je niet meer jezelf durft te zijn—bijvoorbeeld als je niet meer een paar

vormt een inbreuk op de persoonlijke levenssfeer die zelfstandig gelegitimeerd moet worden. De

glazen alcohol te veel wilt drinken, omdat je probleempuber dan helemaal het stigma van een ri-

verzameling van gegevens kan immers al de beoordeling door de overheid van burgers inkleu-

sicojongere zou kunnen krijgen—is je privacy in het geding. Let wel: privacy is niet absoluut, en

ren, en dat raakt de vrijheid van burgers zichzelf te kunnen zijn. Ze zouden bijvoorbeeld bij hun

het kan heel legitiem zijn om die persoonsgegevens zo te verwerken (en goed voor je gezondheid

vakantie naar Oost-Turkije kunnen afzien van een halal-maaltijd in het vliegtuig, uit angst in

en misschien ook voor de probleempuber), maar het illustreert wel dat een inbreuk op je privés-

een databank van potentiële terroristen terecht te komen. Daarom stellen de bescherming tegen

feer een goede grondslag nodig heeft: je moet niet onnodig je identiteit hoeven aan te passen.

onterechte oordelen en de vrijheid je eigen identiteit vorm te geven grenzen aan ongerichte of ongelegitimeerde dataverzameling door de overheid.

Een tweede, daarmee samenhangende privacytheorie komt van Jeffery L. Johnson, die zegt dat privacy te maken heeft met bescherming tegen de oordelen van anderen. We worden natuurlijk

De synergie tussen privacy en informatieveiligheid

op allerlei mogelijke manieren beoordeeld in het maatschappelijk verkeer—bijvoorbeeld of we

Als we privacy naast informatieveiligheid zetten, zie ik ten minste drie parallellen. De eerste en

een krediet, subsidie, diploma, lintje of gevangenisstraf verdienen—maar die beoordeling moet

belangrijkste is dat de onderliggende beginselen grotendeels vergelijkbaar zijn en soms geheel

wel plaatsvinden op basis van juiste en relevante feiten. Binnen de privésfeer moet je je (binnen

samenvallen.

redelijke grenzen) kunnen gedragen zonder dat wat je doet—wiet roken, naakt op de keukentafel dansen, vreemdgaan, Donald Duck lezen—invloed heeft op je krediet, diploma of verdenking

Het eerste en voor velen primaire beginsel van informatieveiligheid is vertrouwelijkheid van

van een strafbaar feit: het zijn daarvoor namelijk niet relevante gegevens. Deze privacytheorie

informatie; dat komt overeen met het onderliggende privacybelang van de bescherming van

verklaart daarmee waarom informationele privacy zoveel belang hecht aan dataminimalisatie: je

persoonsgegevens: het afschermen van de privésfeer. Bij beide ligt er een zware nadruk op be-

moet alleen gegevens verwerken die echt nodig zijn voor het doel dat je wilt bereiken, zodat je

scherming tegen ongeautoriseerde toegang of ongeautoriseerd gebruik van gegevens. Hier zien

geen irrelevante, verouderde of onjuiste gegevens in de beoordeling van mensen betrekt. Dat is

we dat de belangen van informatieveiligheid en privacy vrijwel naadloos in elkaar overlopen.

tegenwoordig des te belangrijker, omdat het in de vernetwerkte databankwereld snel gebeurt dat

Privacy wordt gewaarborgd als gegevens adequaat afgeschermd worden volgens de regels van

gegevens buiten hun oorspronkelijke context worden verwerkt, en in een andere context kunnen

de informatieveiligheidskunst en privacy staat op het spel als informatie weglekt. Deze parallel

gegevens van kleur verschieten doordat ze in een ander licht komen te staan. Ook decontextu-

is duidelijk te zien in beleidsdiscussies als de meldplicht datalekken (een informatieveiligheids-

alisering levert risico’s op voor onterechte beoordelingen, en dat onderstreept het belang van

achtige maatregel die binnen de privacywetgeving wordt vormgegeven) en in dossiers waarin

doelbinding.

informatiebeveiligingsrisico’s in de sleutel van privacy worden gezet, zoals bij slimme energiemeters en elektronische patiëntendossiers, waarbij de beveiligingsrisico’s rond gevoelige

Tot slot verklaart privacy als ratio voor de bescherming van persoonsgegevens ook waarom de

persoonsgegevens mede reden vormden voor de Eerste Kamer om de desbetreffende wetsvoor-

dooddoener ‘als je niets te verbergen hebt, heb je toch niets te vrezen’ een drogreden is. Privacy

stellen af te wijzen. Ook het risico van identiteitsdiefstal is een toenemend aandachtspunt bij

staat voor een privésfeer die is onderscheiden van de publieke sfeer. In onze staatsinrichting heb-

de informationele huishouding van de overheid, waarbij privacy en informatieveiligheid hand

ben de publieke autoriteiten de taak gekregen om publieke belangen te behartigen. Waar nodig

in hand gaan.

62

63

Het tweede beginsel van informatieveiligheid, de integriteit van informatie, is ook, hoewel minder prominent, belangrijk in de informationele privacy. Eén van de acht OESO-privacybeginselen is datakwaliteit: ‘Personal data should be relevant to the purposes for which they are to be used, and, to the extent necessary for those purposes, should be accurate, complete and kept up-to-date’ (vgl. art. 11 Wet bescherming persoonsgegevens). De juistheid en nauwkeurigheid van persoonsgegevens komen overeen met de integriteit van informatie. Interessant is wel dat de datakwaliteit bij persoonsgegevens verder gaat dan bij informatieveiligheid: bij het laatste ligt de nadruk op het feit dat gegevens authentiek en niet gemanipuleerd zijn, maar of de gegevens accuraat en ‘juist’ zijn, maakt in beginsel niet uit. Hier kan de informatieveiligheid mogelijk leren van privacy: voor een goede informatiehuishouding helpt het ook dat gegevens een goede kwaliteit hebben, in de zin van relevantie, accuraatheid en volledigheid, en niet alleen dat ze niet manipuleerbaar zijn. Ook beschikbaarheid, het derde beginsel van informatieveiligheid, heeft enigszins te maken met het datakwaliteitsbeginsel. Het belang dat je toegang kunt hebben tot informatie wanneer je die nodig hebt, komt ook tot uiting in het belang dat gegevens volledig en actueel zijn. Al is de parallel hier wat minder sterk dan bij de eerste twee pijlers van informatieveiligheid. Wellicht kunnen beide velden hier nog iets meer van elkaar leren: voor informatieveiligheid is het ook nuttig dat gegevens volledig en actueel zijn, terwijl voor informationele privacy het belang van beschikbaarheid van gegevens meer zou kunnen worden benadrukt. Pas als alle juiste gegevens voorhanden zijn, kan immers een goede beoordeling worden gemaakt over de betrokken persoon. De tweede parallel, die vermoedelijk voortvloeit uit het feit dat de onderliggende belangen vaak dezelfde zijn, is dat informatieveiligheid en informationele privacy om een vergelijkbare aanpak vragen. Informatie kan nooit alleen met technische middelen worden beveiligd; de bescherming is gelegen in een passende combinatie van technische, juridische en organisatorische maatregelen. Het gaat daarbij om maatwerk, waarbij op basis van een contextgevoelige risico-inschatting bepaald wordt welke combinatie en welk niveau aan maatregelen nodig is. Dat geldt evengoed voor de beveiliging van informatie als voor de bescherming van persoonsgegevens. Niettemin kan er wel een accentverschil liggen: bij informatieveiligheid wordt mogelijk in eerste instantie gekeken naar technische maatregelen, die waar nodig worden aangevuld met organisatorische en juridische, terwijl bij persoonsgegevens wellicht eerder wordt uitgegaan van juridische en organisatorische maatregelen (zoals het vastleggen wie voor welk doel gegevens mag verwerken), die worden aangevuld met technische bescherming. Dat lijkt mij een relatief klein verschil: bij beide is bijvoorbeeld een goede regeling van autorisatie (wie heeft toegang tot welke data) essentieel, en of die regeling primair juridisch, organisatorisch of technisch wordt afgedwongen is van ondergeschikt belang. In de benadering van informatieveiligheid en privacy is voorts een vergelijkbare ontwikkeling te zien, waarbij de aandacht aan het verschuiven is naar een systeembenadering. Hierbij ligt de nadruk op bescherming bij het begin van de bouw van ICT-systemen in plaats van achteraf,

64

“Bestuurders dienen zich bewust te zijn van het feit dat informatieveiligheid echt een bestuurlijk vraagstuk is.” Hans Oosters, Dijkgraaf Hoogheemraadschap Schieland en Krimpenerwaard, en bestuurslid van de Unie van Waterschappen van het

en een voorkeur om waar mogelijk waarborgen in het systeem zelf in te bouwen: security by

jaren is privacy weer een factor van betekenis geworden, nu langzamerhand het besef doordringt

design en privacy by design. Het past in een bredere tendens van maatschappelijk verantwoord

dat het optuigen van vele databanken met enorme aantallen uitwisselbare persoonsgegevens ook

innoveren (responsible innovation), waarbij uitdrukkelijk aandacht is voor de normatieve impli-

grote risico’s oplevert voor het welbevinden van burgers en consumenten, niet in het minst door

caties van technologische systemen, en waarbij wordt beoogd om deze normatieve implicaties

de Snowden-onthullingen.

zo vroeg mogelijk te adresseren; als technologieën eenmaal geland zijn in de samenleving, is het immers vaak niet meer mogelijk ze nog wezenlijk te veranderen. Interessant aan de benadering

Vooral deze derde parallel leert ons dat informatieveiligheid en privacy elkaar nodig hebben

van maatschappelijk verantwoord innoveren is dat het vooral een procesbenadering is: een re-

om samen sterker te staan: pijnlijke incidenten met informatieveiligheid tonen ook risico’s voor

flexief, zelflerend en cyclisch proces waarbij het resultaat—zoals maatregelen genomen in het

privacy aan die vaak pas worden onderkend als het te laat is, terwijl de toenemende aandacht

kader van security/privacy by design—doorlopend wordt geëvalueerd en bijgesteld in het licht

voor privacy ook een toenemende roep betekent om betere bescherming van dataverzamelingen.

van gebleken onvolkomenheden, onverwachte neveneffecten of veranderende omstandigheden. Hoewel de tendens naar een systeembenadering, met het inbouwen van waarborgen in systemen

Waar privacy en informatieveiligheid van karakter verschillen

zelf, zowel bij informatieveiligheid als bij privacy de laatste jaren waarneembaar is, kan deze

Hoewel privacy en informatieveiligheid vaak samengaan en vergelijkbare belangen dienen, zijn

tendens nog wel wat versterking gebruiken. Beide velden zouden kunnen leren van ervaringen in

er ook karakterverschillen. Qua terminologie leggen ze een verschillende nadruk. Waar informa-

andere velden waarbinnen ‘responsible innovation’ in de praktijk wordt gebracht. Een reflexieve,

tieveiligheid zich richt op informatie, dat wil zeggen betekenisvolle gegevens, richt privacy zich

zelflerende procesbenadering is namelijk geschikter dan een statische benadering om informatie

op (persoons)gegevens, dus meer de ruwe data ongeacht of deze voor iemand betekenis hebben.

adequaat te beschermen in onze dynamische en complex verknoopte informatiesamenleving.

Maar dit verschil is klein. Door de ontwikkeling van datamining en Big Data convergeren de concepten van gegevens en informatie sowieso: gegevens kunnen altijd informatie bevatten en

Een derde parallel die ik zie is de relatieve onzichtbaarheid van informatieveiligheid en privacy

informatie is weer de grondstof—gegevens—voor andersoortige informatie. Informatieveilig-

buiten de beperkte kring van werknemers die ervoor verantwoordelijk zijn. Het is een probleem

heid gaat in feite over beveiliging van allerlei soorten gegevens, ongeacht hun inhoud, terwijl

waar beide velden mee te kampen hebben: zolang het goed gaat, merk je er niets van, maar wan-

persoonsgegevens in potentie altijd betekenisvolle gegevens zijn, omdat ze worden verzameld en

neer het fout gaat, heb je echt een probleem. Bij informatieveiligheid is een klassieke uitdaging

gebruikt voor bepaalde doelen. Beide gaan dus over de bescherming van gegevens en informatie.

dat het optimale niveau van investeringen in informatieveiligheid moeilijk meetbaar is: het kan altijd beter, maar of meer beveiliging nodig is, weet je pas als het fout gaat (ja, het was nodig)—

Daarbinnen zien we wel een karakterverschil in het object: informationele privacy beschermt één

en dan is het mogelijk te laat: de informatie ligt op straat en de reputatie aan diggelen. Het is een

bepaald type gegevens—persoonsgegevens—vanuit het idee dat daarmee ook de personen over

van de redenen waarom informatieveiligheid moeilijk op de directieagenda is te krijgen: het is

wie het gaat, de zogeheten ‘betrokkenen’, worden beschermd. Informatieveiligheid is minder

een kostenpost die geen zichtbaar resultaat oplevert, behalve als er een zwaar incident plaatsvindt

eenkennig ten aanzien van het type gegevens: in principe wordt elk type informatie beschermd,

(denk DigiNotar) dat—achteraf—aangeeft dat het onderwerp voorheen te weinig aandacht heeft

ongeacht waar de informatie betrekking op heeft, en het onderliggende idee is dat daarmee niet

gehad.

alleen de belangen van waar de informatie betrekking op heeft (werking van ICT-systemen, bedrijfsprocessen, klanten, afnemers, koerswaarde), maar vooral ook de belangen van de informa-

Evenzo luidt een veelzeggend aforisme dat privacy net is als zuurstof: je merkt het pas als het er

tieverwerkende organisatie zelf worden beschermd.

niet meer is. In een samenleving met voldoende ruimte voor een privéleven, ben je je nauwelijks bewust dat je kunt zijn wie je wilt; pas als een samenleving autoritaire trekken krijgt, merk je

Dat is op zich niet zo interessant, maar relevant is wel dat het gepaard gaat met een karakter-

hoe belangrijk levensruimte is om (binnen redelijke grenzen) ongestoord jezelf te kunnen zijn.

verschil in benadering van het object. De privacybenadering is vooral zwart-wit: er is weliswaar

Maar als die autoritaire samenleving ontstaan is, is het de vraag of er nog een weg terug is: een

discussie over wanneer een gegeven precies een persoonsgegeven is, maar wanneer eenmaal

voortgaande uitholling van privacy zou wel eens onomkeerbaar kunnen zijn. In minder dramati-

is vastgesteld dát het een persoonsgegeven is, worden alle persoonsgegevens op een tamelijk

sche termen gezegd: het belang van privacy blijft vaak onderbelicht, omdat het weinig zichtbaars

uniforme manier benaderd, terwijl wat niet als persoonsgegeven wordt gekwalificeerd, helemaal

oplevert; privacy is smeerolie van maatschappelijke processen doordat het individuen de nodige

niet wordt beschermd door de privacywetgeving. Informationele privacy kent twee grijstinten:

speelruimte biedt, maar het belang blijkt pas als de maatschappelijke processen spaak lopen.

gegevensverwerking voor ‘huishoudelijk’ gebruik is uitgezonderd van de werkingssfeer, terwijl

Lang is privacy afwezig geweest als factor in beleids- en bestuursagenda’s; pas sinds enkele

zogeheten ‘bijzondere’ persoonsgegevens—medische, religieuze of seksuele en andere typisch

66

67

Foto: Gertan / Shutterstock.com

privacygevoelige gegevens—juist extra worden beschermd. Informatieveiligheid hanteert daar-

Een derde, en voor dit essay misschien het meest relevante karakterverschil is de omgang met

entegen een veel genuanceerdere benadering door de nadruk te leggen op een risicoafweging, die

het delen van informatie. Bij informatieveiligheid wordt dit in beginsel gezien als riskant: het is

gepaard kan gaan met een rijker gekleurd palet in beschermingsmaatregelen voor verschillende

zeker niet onmogelijk, maar vaak op zich wel onwenselijk om informatie aan derden te geven.

klassen gegevens of gegevensgebruik. In dit opzicht kan informationele privacy denk ik iets

Je verliest daarmee namelijk de controle over gegevens, en dat betekent dat het een bewuste

wezenlijks leren van informatieveiligheid, want natuurlijk leveren niet alle persoonsgegevens

risicoafweging vergt of het doel van delen opweegt tegen het aanvullende risico dat informatie

(die buiten de ‘huishoud’-uitzondering vallen) altijd dezelfde risico’s op voor betrokkenen. De

weglekt of wordt gemanipuleerd. Bij het in de inleiding genoemde voorbeeld van de gedecentra-

implicaties van verwerking van ‘bijzondere’ gegevens kunnen bovendien ook enorm verschillen

liseerde zorg betekent dit vermoedelijk een uitgangspositie van terughoudendheid bij het delen

afhankelijk van de context. In de toekomst zal de benadering gelukkig iets genuanceerder wor-

van informatie binnen gemeentelijke netwerken: je verliest sneller het overzicht wat er gebeurt

den, aangezien de komende wijziging van de Europese dataprotectiewetgeving aandacht heeft

met informatie waar je als organisatie verantwoordelijk voor bent, en de organisatie heeft een

voor gegevensverwerkingen die ‘bijzondere risico’s’ opleveren voor de rechten en vrijheden van

zekere verantwoordelijkheid om na te gaan of gedeelde informatie bij ketenpartners in voldoende

betrokkenen, en waarin bovendien voorgesteld wordt om voor gepseudonimiseerde gegevens

veilige handen is.

juist een wat lichter regime te hanteren. Dit zijn goede aanzetten voor een opener, op een risico-inschatting gebaseerde en meer contextafhankelijke benadering om gegevens te beschermen.

Bij informationele privacy ligt dat net iets anders: hoewel vaak gedacht wordt dat privacywetgeving een belemmering vormt voor het delen van gegevens, moet het delen niet zozeer worden

Een tweede karakterverschil is de omvang van de bescherming. Informationele privacy hanteert

beschouwd als een extra risico, maar eerder als een extra vorm van verwerking die goed geregeld

een meer holistische aanpak bij de bescherming van gegevens, met regels voor verzameling,

moet worden. Privacywetgeving is niet tegen delen als zodanig (nee tenzij), maar is eerder voor

verwerking, opslag, gebruik, doorgifte en vernietiging. Informatieveiligheid heeft ook oog voor

zorgvuldig delen (ja mits) (Merk op dat privacywetgeving twee doelen heeft, niet alleen bescher-

de hele cyclus van gegevensverwerking, maar de nadruk ligt toch vaak vooral op de beveiliging

ming van privacy maar ook vrij verkeer van persoonsgegevens binnen Europa—dat laatste wordt

bij de verwerking en de opslag van gegevens. Hoewel het principe ‘select before you collect’ wel

wel eens over het hoofd gezien). Zoals in de inleiding opgemerkt staat de privacywetgeving delen

een vuistregel is binnen informatieveiligheid, zou het meer nadruk kunnen krijgen in beleid en

toe als er een goede grondslag voor is en het binnen de grenzen van proportionaliteit plaatsvindt,

richtlijnen voor een goede informatiehuishouding. De informationele privacy laat immers zien

mede omdat het mogelijk leidt tot een adequater beeld van iemand waardoor zorgvuldiger be-

waarom dataminimalisatie—dus vooral ook bescherming bij het startpunt, het verzamelen van

slissingen mogelijk worden. Binnen de gedecentraliseerde zorg betekent het daarom niet per se

gegevens—belangrijk is: het helpt om onterechte beslissingen te voorkomen door vervuiling van

een houding van terughoudendheid om persoonsgegevens te delen, maar eerder een houding

het databestand met irrelevante gegevens tegen te gaan.

van constructief meedenken om in gezamenlijkheid persoonsgegevens adequaat te beschermen. Uiteindelijk verschilt dat misschien niet veel van een benadering ingegeven vanuit informatie-

Omgekeerd is er bij informationele privacy relatief weinig aandacht voor het vraagstuk van toe-

veiligheid, die immers ook zou moeten leiden tot adequate bescherming van informatie die waar

gang en autorisatiecontrole, dat juist een van de belangrijkste pijlers is van informatieveiligheid.

nodig gedeeld moet kunnen worden, maar het perspectief (een ‘nee tenzij’-houding tegenover

Bij privacy wordt uitgegaan van één organisatie die in abstracto als geheel verantwoordelijk is

een ‘ja-mits’-perspectief) is net even anders.

voor de gegevensbescherming; deze organisatie is ‘de verantwoordelijke’ die rechten en plichten heeft en gegevens op bepaalde manieren mag verwerken. Daarbij blijft in het midden wie binnen

Daarbij kan nog wel een kanttekening worden geplaatst. Volgens onderzoek van NRC Handels-

de organisatie wat mag doen. Het vraagstuk van toegang en autorisatiecontrole speelt bij privacy

blad (‘Wie kunnen er straks allemaal je dossier inzien?’, 16 augustus 2014) willen de meeste

eigenlijk alleen een rol bij de verplichting persoonsgegevens adequaat te beveiligen, oftewel het

gemeenten het delen van gegevens binnen netwerken legitimeren op basis van expliciete toe-

onderdeel informatieveiligheid. De overige aspecten van informationele privacy (bijvoorbeeld

stemming van burgers. Ongeacht hoe de gegevens verder worden beschermd, is dat niet wat ik

voor welke doelen gegevens verwerkt mogen worden, of de kwaliteitseisen voor dataverwerking)

zou verstaan onder een zorgvuldige regeling voor het delen van gegevens. Burgers kunnen name-

gelden in principe voor iedereen binnen de organisatie van de verantwoordelijke. De op een

lijk maar nauwelijks de implicaties van hun toestemming overzien, daarvoor zijn de netwerken

risico-inschatting gebaseerde benadering van informatieveiligheid is fijnmaziger, en laat bijvoor-

te complex en de mogelijke gevolgen van het delen van informatie veel te diffuus. Bovendien

beeld toe dat sommige afdelingen, of speciaal geautoriseerde medewerkers, meer mogelijkheden

hebben burgers weinig te kiezen—ze kunnen immers moeilijk naar een andere overheid over-

(of juist zwaardere kwaliteitseisen) hebben ten aanzien van sommige data uit een dataverzame-

stappen—zodat toestemming geven feitelijk geen vrije keuze is. In dit opzicht is de benadering

ling dan andere afdelingen of ongeautoriseerde medewerkers.

van informatieveiligheid beter, die de verantwoordelijkheid voor de beslissing om al dan niet te

70

71

delen legt waar die thuishoort: bij de instantie die gegevens beheert en die verantwoordelijk is

de overheid niet langer onverschillig blijven over privacyrisico’s voor burgers. Wat de afgelopen

voor een goede informatiehuishouding. Een legitieme grondslag voor het delen van gegevens

jaren steeds meer blijkt: privacy bijt terug. De slimme meter, patiëntendossiers, centrale opslag

binnen gemeentelijke netwerken kan worden gevonden in de publieketaakuitoefening van de

van biometrie, verplichte dataretentie van telecomgegevens: steeds vaker blijkt dat een ongebrei-

desbetreffende instanties (artikel 8 onder e Wbp), maar niet in een vorm van toestemming die in

delde verzameling en verwerking van persoonsgegevens op weerstand stuit, in de politiek, bij

hoge mate fictief is.

de rechter en, zeker sinds Snowden, in de media en bij het publiek. De overheid kan privacy niet langer als bijverschijnsel zien, maar moet bij elk informatie- en ICT-project zorgvuldig kijken

Misschien is daarom juist de combinatie van beide perspectieven optimaal: het delen van gege-

naar de privacyimplicaties. Dit is inmiddels ook geformaliseerd met het uit de iStrategie voort-

vens is goed mogelijk als het zorgvuldig wordt geregeld (het privacyperspectief), maar het blijft

vloeiende toetsmodel Privacy Impact Assessment Rijksdienst, dat standaard wordt toegepast bij

wel de verantwoordelijkheid van de delende instantie om duidelijk te maken waarom het delen

de ontwikkeling van wetgeving en beleid waarbij nieuwe ICT-systemen of grote databanken wor-

nodig is en past binnen een goede informatiehuishouding (het informatieveiligheidsperspectief).

den voorzien (en hopelijk ook bij maatregelen die gepaard gaan met de uitbreiding van bestaande

En dat is denk ik ook de les van de beschouwing van de karakterverschillen tussen privacy en

ICT-systemen of databanken).

informatieveiligheid: ook waar ze verschillende accenten leggen, vullen de perspectieven elkaar eerder aan dan dat ze in verschillende richtingen wijzen. Ik zie weinig intrinsieke of fundamen-

En dat heeft ook zijn weerslag op de zichtbaarheid van informatieveiligheid: het verzamelen en

tele verschillen waardoor het belang van privacy en het belang van informatieveiligheid uiteen-

verwerken van gegevens moet fatsoenlijk gebeuren om rekening te houden met de gevolgen voor

lopen; veeleer houden beide belangen elkaar een interessante spiegel voor.

burgers (privacy), en moet in het verlengde daarvan ook zorgvuldig worden geregeld (informatieveiligheid). Nu privacy in de publieke discussie zichtbaarder wordt als een belangrijk aandachts-

De onzichtbare medaille en de beleidsagenda

punt bij de opzet en vormgeving van ICT-projecten en gegevensstromen binnen de overheid,

Zoals ik heb betoogd, hebben privacy en informatieveiligheid veel met elkaar gemeen. Ze dienen

komt de andere kant van de munt—informatieveiligheid—vanzelf ook prominenter in beeld. Wil

vergelijkbare doelen en hanteren vergelijkbare middelen. Hoewel de benadering soms verschilt,

de overheid niet achteraf een gepeperde rekening gepresenteerd krijgen van informatielekken en

komt dit verschil niet voort uit conflicterende belangen, maar eerder uit andere perspectieven die

privacyrampen, dan zal ze tijdig en voldoende aandacht moeten besteden aan de borging van een

verschillende aspecten oplichten en daarmee een spiegel voorhouden. Je kunt privacy en infor-

propere informatiehuishouding.

matieveiligheid dan ook het beste zien als twee kanten van een medaille. Of misschien liever— omdat de overheid nog niet echt een medaille op dit vlak heeft verdiend—als twee kanten van

De combinatie van privacy en informatieveiligheid onderstreept, vanuit de belangen en bena-

een munt, naar de Engelse uitdrukking ‘two sides of a coin’. Die munt drukt uit dat geïnvesteerd

deringen van beiden, waarom een fatsoenlijke en zorgvuldige informatiehuishouding wezenlijk

moet worden in een zorgvuldige en fatsoenlijke informatiehuishouding. Informatieveiligheid legt

is in de informatiesamenleving. De combinatie zou daarom een winnend team moeten zijn om

daarbij wat meer nadruk op zorgvuldigheid, privacy wat meer op fatsoenlijkheid; het komt beide

beide belangen, die elk afzonderlijk vaak te onzichtbaar blijven, prominent op de beleidsagenda

neer op een propere informatiehuishouding. Zo’n propere informatiehuishouding kost geld, maar

te zetten. Dan verdient de overheid toch nog een medaille.

betaalt zichzelf terug, omdat voorkomen beter en efficiënter is dan genezen. Hoewel informatie alleen maar in belang toeneemt in de informatiesamenleving, is de munt van een propere informatiehuishouding toch nog te vaak onzichtbaar op directietafels en in beleidsagenda’s. Zowel privacy als informatieveiligheid is vaak een kind van de rekening—de rekening van te weinig en te late aandacht. Zolang het goed gaat, gaat het goed, maar als het fout gaat, is het goed fout. Ook hier biedt privacy denk ik een waardevolle aanvulling op het perspectief van informatieveiligheid, en omgekeerd. Incidenten rond informatieveiligheid hebben, zeker bij de overheid, al snel een weerslag op privacy, omdat er vaak ook risico’s ontstaan voor de privacy van burgers. En waar dat tot enkele jaren geleden soms schouderophalend op de koop toe werd genomen, kan

72

1 OECD, Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (1980), www.oecd.org/internet/ ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm.

73

5.

Informatieveiligheid en ondermijnende criminaliteit pieter tops

“Je moet sloten op de spreekwoordelijke deuren van je organisatie plaatsen. Zoals je thuis risico’s loopt als je de deur niet op slot doet of de sleutels weggeeft, zo heb je ook een probleem met de ICT-beveiliging als mensen zich niet aan de regels houden.” Irma Woestenberg, Gemeentesecretaris ‘s-Hertogenbosch

Hoogleraar bestuurskunde Universiteit van Tilburg

Het lijkt op het eerste gezicht misschien vreemd om in een bundel als deze ook aandacht te besteden aan ondermijnende criminaliteit en de relatie daarvan met informatieveiligheid. Toch is daar reden voor. In de eerste plaats omdat de aard en omvang van ondermijnende criminaliteit in Nederland groot zijn en als een ingrijpend (en wicked) probleem kunnen worden gezien. In de tweede plaats omdat de aanpak ervan niet alleen een zaak voor politie en OM is, maar in toenemende mate ook wordt gezien als een verantwoordelijkheid voor de overheid tout court. Met name op lokaal niveau, met voorop een aantal grote steden, wordt hier werk van gemaakt; gesproken wordt van een bestuurlijke of integrale aanpak van georganiseerde criminaliteit. En in de derde plaats omdat informatie voor criminelen een onmisbare grondstof is voor hun activiteiten. Het kunnen bemachtigen van relevante overheidsinformatie, of het kunnen afschermen van criminele informatie voor de overheid, is voor criminele organisaties van primair belang. In deze bijdrage zullen wij kort op deze drie redenen ingaan. 1. Omvang en betekenis van ‘ondermijning’. Er zijn reële aanwijzingen dat georganiseerde criminaliteit in onze samenleving een stevige positie heeft, en dat die positie de afgelopen jaren eerder versterkt dan verzwakt is. Officiële rapportages als het Nationaal Dreigingsbeeld (Boerman e.a., 2012) en de monitor Georganiseerde Misdaad (Van de Bunt en Kleemans 2007, 2012), beide gebaseerd op beschikbare politieregistraties, spreken van een

74

75

stabiel en hoog niveau. Een onderzoek in Tilburg, gebaseerd op een uitgebreide analyse van de infor-

sprake van een digitaal onderscheid tussen bovenwereld en onderwereld. Het onderscheid is analoog

matie van een ‘bedreigde getuige’ uit het misdaadmilieu (hennep), spreekt van een vermoedelijke om-

of gradueel. Er is sprake van een continuüm met aan het ene einde de harde criminele onderwereld en

zet aan hennepteelt van tussen de 750 en 900 miljoen euro per jaar en een totaal aantal van 2500 men-

aan de andere kant de ‘zuivere’ bovenwereld; daartussen bestaan allerlei tussenvormen, die variëren

sen dat zich dagelijks met die hennepteelt inlaat. In Tilburg en omgeving wel te verstaan (RIEC, 2013).

van bewust wegkijken via een graantje meepikken tot aan het verlenen van hand- en spandiensten.

Hoe omvangrijk de georganiseerde criminaliteit precies is, blijft inzet van debat, ook in wetenschap-

Er wordt ook wel gesproken over de ‘embedded nature of criminal and legitimate networks’ (Pa-

pelijke kring. Er bestaat nu eenmaal geen zorgvuldige boekhouding rond productie en omzet van

pachristos and Smith, 2012). Illegale en legale netwerken zijn met elkaar vervlochten en steunen op

zoiets als hennepteelt of productie van synthetische drugs. Daarom dient gewerkt te worden met

elkaar. De criminele netwerken functioneren in een symbiotische verhouding met hun directe omge-

educated guesses, waar altijd ook discussie over mogelijk is. Wel weten we dat de drugshandel van-

ving. Daarbij zijn criminele activiteiten soms op een min of meer vanzelfsprekende manier met het

wege haar lucratieve karakter het zwaartepunt vormt van de georganiseerde criminaliteit in Nederland

dagelijks leven van veel ‘gewone’ mensen verbonden. Voor een deel gaat het dan om mensen aan de

(Klerks, 2000:97). En dat een groot deel van de Nederlandse drugsproductie voor de export bestemd

‘onderkant’ van de samenleving, maar de verknoping is veel breder. Mensen en organisaties, die op

is (Boerman e.a., 2012, p. 56). Hoeveel precies is overigens inzet van debat en strijd.

een of andere manier in hun reguliere voortbestaan bedreigd worden zijn kwetsbaar (het kan daarbij bijvoorbeeld gaan om middenstanders en ondernemers, maar ook om sportverenigingen).

Over de vraag hoe georganiseerde criminaliteit te definiëren, zijn vele discussies gevoerd; voor een uitvoerig overzicht zie Klerks, 2000. Wij gaan er hier geen nieuwe definitie aan toevoegen. Wel kan

Belangrijk is dat niet alleen economische overwegingen een rol spelen, maar ook motieven die met

gesteld worden dat de term ‘georganiseerde criminaliteit’, hoewel ingeburgerd, wellicht toch minder

eigenwaarde en zingeving te maken hebben. Een voorbeeld zijn de 1% motorclubs (outlaw motor

gelukkig is. Hij stamt uit de tijd dat deze vorm van criminaliteit primair in termen van hiërarchisch

gangs), waarin kameraadschappelijkheid en de daarmee verband houdende ‘waarden’ van groot be-

vormgegeven organisaties werd gedefinieerd. Inmiddels is algemeen geaccepteerd dat het verschijn-

lang lijken (Schubert 2013, DLIO 2014). Het maakt deze clubs tot meer dan alleen een dekmantel

sel veel gedifferentieerder moet worden gezien, en dat een benadering in termen van flexibele net-

voor crimineel gedrag (hoewel ze dat naar alle waarschijnlijkheid ook zijn). Sommige criminelen be-

werken grosso modo adequater is (hoewel andere benaderingen daarmee niet uitgesloten zijn). Het

schikken in sommige omgevingen (ook buiten de directe kring van ‘getrouwen’) over meer legitimi-

lijkt ons daarom beter om te spreken van ondermijnende criminaliteit. Dat wil zeggen criminaliteit

teit dan officiële instanties en die is vermoedelijk niet alleen op dreiging of geweld gebaseerd. Er lijkt

die de formele (rechtsstaat) of informele (fatsoenlijke verhoudingen) grondslag van onze samenleving

sprake te zijn van ‘trusted criminals’, criminelen die vertrouwen genieten in hun sociale omgeving,

systematisch aantast. Daarmee staan de maatschappelijke gevolgen en niet zozeer de organisatorische

omdat ze op een of andere manier voor die omgeving zorgen.1

vorm centraal. Door zo te kijken, hanteren we niet een juridisch of moreel perspectief op ondermijnende criminaliAlgemeen geaccepteerd is dat ondermijnende criminaliteit (zie Taskforce B5, 2013):

teit, maar een ´functioneel´ (zie ook Klerks 2000). Kennelijk vervult ondermijnende criminaliteit een

a. kapitaal vergaart door het bedienen van illegale markten, of door illegale controle

aantal ´nuttige´ functies in een moderne samenleving, bijvoorbeeld als sociaal stijgingsmechanisme in

van legale sectoren;

een wereld met grote sociaal-economische verschillen. Uit de VS is bekend dat in bepaalde perioden

b. macht en expansiekracht genereert door de combinatie van geld en geweld;

georganiseerde illegaliteit de ladder vormde naar hogere maatschappelijke posities en respectabiliteit

c. de legale economische en juridische infrastructuur infiltreert en corrumpeert;

voor bepaalde etnische groepen (Bell, 1953). Ondermijnende criminaliteit kan een milieu vormen dat

d. onder kwetsbare groepen rekruteert;

geborgenheid of steun biedt in een wereld die als vijandig of als ´niet te vertrouwen´ wordt ervaren.

e. mondiaal opereert, maar lokaal wortelt en investeert.

De functionaliteit kan ook een directe economische oorsprong hebben, bijvoorbeeld doordat georganiseerde criminaliteit voorziet in goederen en diensten die officieel verboden zijn, maar waar volop

Sociologisch gezien is de ondermijnende criminaliteit niet een afgescheiden, relatief geïsoleerd feno-

vraag naar is.

meen in onze samenleving (een dreiging van buitenaf), maar een integraal bestanddeel daarvan, dat op allerlei manieren vertakt is met en uitgezaaid is in het reguliere leven. Het begrip ‘parallelle samenle-

Wellicht ten overvloede: al deze overwegingen zijn geen ‘rechtvaardiging’ voor georganiseerde crimi-

ving’ zou hier wel eens op zijn plaats kunnen zijn. Het refereert aan een deel van de samenleving dat

naliteit. Ondermijning heeft grote negatieve maatschappelijke effecten al was het alleen maar omdat

in de ‘normale’ samenleving aanwezig is, er een eigen cultureel en economisch normenstelsel op na

zij vaak samengaat met intimidatie en (dreiging met) geweld. Juridische en morele oordelen blijven

houdt, en zich daarbij ook buiten de kaders van de gevestigde rechtsorde begeeft. Er is daarbij geen

daarom relevant en noodzakelijk.

76

77

2. Aanpak van ondermijnende criminaliteit Anno 2014 wordt de aanpak van ondermijnende criminaliteit niet meer als een exclusief probleem van de strafrechtketen gezien (Neelen en Huisman 2008, Tops e.a. 2010, GOC 2013). De focus wordt verbreed, zo luidt het uitgangspunt, van de strafrechtelijke aanpak van een delinquent, naar de integrale bestrijding van ondermijnende criminaliteit met een belangrijke rol voor het lokaal bestuur. Zowel in theorie als in praktijk blijkt dat een stevige opgave. Achtergronden en ‘culturen’ van organisaties lopen uiteen; informatiedeling blijkt zowel technisch als inhoudelijk een complexe aangelegenheid (inclusief de ermee verbonden privacy-vragen); bevoegdheden van verschillende organisaties botsen regelmatig (Zouridis e.a. 2013). Maar er is meer; het gaat niet alleen om een organisatorische maar ook om een inhoudelijke opgave, die wel met twee bewegingen of veranderingen wordt aangeduid. De eerste is die ‘van ophelderen naar oplossen’, waarmee wordt bedoeld dat niet langer de opheldering van een zaak, maar juist de oplossing van een maatschappelijk probleem centraal moet staan. De tweede is die ‘van incident-gestuurd naar inzicht-gestuurd’, waarmee wordt aangegeven dat niet afzonderlijke incidenten, maar de eraan ten grondslag liggende structuren en verbanden aan de inspanningen ten grondslag moeten liggen. Een sterk verbeterde informatie- en analysecapaciteit is daarvoor een voorwaarde. De zogenaamde Regionale Informatie en Expertisecentra (RIEC’s) zijn daarvoor in het leven geroepen. Zij zijn een informatieknooppunt, waar informatie van politie, OM, gemeenten en belastingdienst bij elkaar wordt gebracht en ‘veredeld’. Deze verbreding van de aanpak lijkt logisch en onvermijdelijk. Tegelijkertijd mag het belang en de bijzondere bijdrage van de strafrechtketen niet uit het oog verloren worden. Een vraag die zich op dit terrein bijvoorbeeld afspeelt, is die naar de inzet en de verdeling van politiecapaciteit. Wordt die niet te veel bepaald door zogenaamde aangiftecriminaliteit, waardoor de ondermijnende criminaliteit minder aandacht krijgt dan gewenst (Van der Torre e.a. 2010)? En, wordt de aanpak van georganiseerde criminaliteit niet te veel als een exclusief landelijke prioriteit beschouwd, waardoor de lokale of geografische verankering (en de lokale kennis daarover) onvoldoende gewicht krijgt? Tenslotte is de veranderingsopgave, zo kan worden gesteld, niet alleen organisatorisch en inhoudelijk, maar ook maatschappelijk. Een effectieve aanpak is niet mogelijk zonder actieve betrokkenheid en ‘awareness’ van maatschappelijke organisaties die misdaadbestrijding op zich niet tot hun kerntaak hebben (woningbouwverenigingen, midden- en kleinbedrijf, makelaars). Maar er wel bij betrokken kunnen raken of over relevante informatie kunnen beschikken. Ook individuele burgers, die soms uit onwetendheid, maar niet zelden ook uit eigenbelang een oog dichtknijpen, dienen betrokken te worden. Er kan onderscheid gemaakt worden tussen onbewust betrokken zijn, bewust wegkijken en bewust meedoen, waarbij dan weer verschillende gradaties gelden. Als de ondermijnende criminaliteit maatschappelijk verankerd is, dan dient ook de aanpak ervan vermaatschappelijkt te worden, zo is de veronderstelling.

78

“De cybersecurity-strategie is geen kwestie van de verre toekomst, maar gericht op het hier en nu.” Dick Schoof, Nationaal Coördinator Terrorismebestrijding en Veiligheid

Voor bijvoorbeeld de gemeentelijke overheid hebben deze ontwikkelingen veel consequenties.

De feitelijke uitvoering van alle handelingen die nodig zijn om tot illegale productie te komen,

Ze betekenen bijvoorbeeld dat gemeentebreed (‘integraal’ is hier de favoriete bestuurlijke term)

noemen we het criminele bedrijfsproces (Spapens 2006). In veel opzichten is dit vergelijkbaar met

naar het probleem gekeken moet worden. Veiligheid is niet langer een exclusief thema voor de

de reguliere, legale bedrijfsprocessen. Op basis van bedrijfskundige literatuur maakt Spapens een

burgemeester en de afdeling veiligheid, maar raakt de hele gemeente, inclusief de afdeling ver-

onderscheid tussen een goederenstroom, een informatiestroom en een geldstroom, die alle drie over

gunningen, de basisregistratie personen en het wijkgericht werken. Voor de informatiepositie en

specifieke kenmerken beschikken. We gaan hier met name op de informatiestroom in.

de beveiliging ervan heeft dit gevolgen. We komen daar straks op terug, maar een van de gevolgen is bijvoorbeeld dat de afscherming van informatie en de autorisatie van toegang veel scherper

De informatiestroom omvat alle gegevens die voor het uitoefenen van het criminele bedrijfsproces

georganiseerd moeten worden. Ook de maximaal ‘klantvriendelijke’ houding ten opzichte van

noodzakelijk of nuttig zijn. Dat kan inhoudelijke informatie zijn, die rechtstreeks op de goederen-

burgers, bijvoorbeeld. rond de inschrijving in de ‘burgerlijke stand’,behoeft op een aantal punten

stroom of de geldstroom betrekking heeft. Het gaat dan bijvoorbeeld om onderhandelingen over de

correctie. Dat heeft wel iets navrants, gegeven het feit dat de afgelopen decennia veel is geïnves-

verkoopprijs of over manieren om geld ‘wit te wassen’. Het kan ook organisatorische informatie

teerd in dat ‘klantvriendelijk’ worden. Dat is tot op zekere hoogte gelukt, soms op basis van forse

zijn, die betrekking heeft op afspraken die in het kader van het bedrijfsproces gemaakt moeten wor-

inspanningen, en blijkt nu een aantal naïeve of disfunctionele kanten te hebben.

den (bv. waar elkaar te ontmoeten), maar die ook betrekking kan hebben op acties van opsporingsinstanties of op informatie die bij die instanties beschikbaar is. En het kan om sociale informatie

3. Informatie en criminaliteit

gaan, die gaat over het gedrag en het karakter van de betrokken personen, inclusief de mogelijke

Als het om concrete criminele handelingen gaat, kennen we een onderscheid tussen macro-,

kwetsbare kanten daarvan.

meso- en micronetwerken (Spapens, 2012). Het macro-netwerk omvat de totale verzameling van criminele personen en groepen, die op een of andere manier beschikbaar zijn voor criminele

Een belangrijk deel van de gewenste informatie wordt door criminelen zelf gegenereerd. Informatie

activiteiten. Het is de grote vijver, waarin criminele netwerken kunnen vissen, zowel nationaal

uit of over de informatie-infrastructuur van de overheid is daarbij voor criminele activiteiten zeer

als internationaal. Op dit niveau zijn de netwerken fluïde en niet-operationeel; men kent elkaar

relevant. Hieronder geven we een aantal mogelijkheden. Een systematisch overzicht over omvang

en weet elkaar wanneer nodig te vinden.

en intensiteit is nog niet te maken, maar het zijn wel allemaal zaken die zich in werkelijkheid hebben voorgedaan, of er bestaan sterke aanwijzingen voor. Het zijn allemaal zaken die in het verleng-

Het meso-netwerk is een territoriale ‘verdichting’ van micro- en macro-netwerken. Men kan zich

de liggen van de activiteiten (of modus operandi) van de ‘reëel bestaande’ criminele activiteiten in

dat als volgt voorstellen: voor daadwerkelijke uitvoering van criminele activiteiten is doorgaans

Nederland.

samenwerking en afstemming tussen diverse micro-netwerken nodig. Die samenwerking is niet willekeurig over de samenleving verspreid, maar kent bepaalde (geografische) concentraties, die

Informatie over de informatiepositie en activiteiten van autoriteiten

daar ontstaan waar een gunstige gelegenheidsstructuur bestaat. Te denken valt aan havens of

Hier gaat het om informatie die klassiek bij opsporingsinstanties aanwezig is. Wat weet men

bepaalde achterstandswijken. Zoals Pool (2013) het formuleert: criminele meso-netwerken zijn

over criminele activiteiten en groepen, hoe adequaat is de informatiepositie, welke opsporings-

lokale clusters binnen het wereldwijde criminele macro-netwerk. Het zijn de criminele milieus

acties staan er op stapel? Het is evident dat kennis hiervan voor criminelen van groot belang

waarin plannen worden gesmeed. De daadwerkelijke uitvoering vindt plaats in ketens van mi-

kan zijn. Binnen politie en OM zijn dan ook procedures ontwikkeld die dit soort kennis voor

cro-netwerken.

‘uitlekken’ moeten beschermen. Ook in hun context is dat niet altijd eenvoudig. Met het op het toneel van criminaliteitsbestrijding verschijnen van gemeentelijke organisaties komt daar een dimensie bij. Gemeenten kennen veel minder een traditie van afschermen van informatie.

Het voert de criminele activiteiten daadwerkelijk uit. Het bestaat doorgaans uit een ‘organisator’,

Op het gebied van autorisatie en screening vergt dat de ontwikkeling van nieuwe normen en

die de spil van het samenwerkingsverband is, en enkele vertrouwde hulpkrachten; zij vormen

tradities. Daarbij gaat het niet alleen om het tegengaan van bewust lekken van informatie of om

de kern van het micro-netwerk. Daaromheen bestaat een eerste schil van vaste hulpkrachten en

het indammen van nieuwsgierigheid, maar ook om het verijdelen van slordigheid en onacht-

dienstverleners en een tweede schil van losse hulpkrachten. De samenwerkingsrelaties binnen de

zaamheid. Het op een voor veel medewerkers toegankelijke plaats ophangen van een overzicht

harde kern en met de binnenschil zijn doorgaans vrij bestendig, zeker zolang iedereen op vrije

van hennepruimdagen, zoals wel is gebeurd, maakt niet meteen informatie openbaar die voor

voeten blijft en de zaken naar wens verlopen.

criminelen van levensbelang is, maar is toch ook niet erg verstandig te noemen.

80

Een micro-netwerk is een geactiveerd en gecoördineerd samenwerkingsverband van criminelen.

81

Informatie rond adresgegevens

Informatie die mensen in kwetsbare posities kan brengen

Inschrijving en uitschrijving uit de Basisregistratie Personen (BRP) heeft grote gevolgen voor

Een van de gekende manieren van criminele organisaties om hun invloed te vergroten is door

burgers. Verstrekking van uitkeringen en toeslagen is eraan gekoppeld, als ook de opbouw van

het onder druk zetten van kwetsbare mensen of door kwetsbare kanten van publieke functiona-

AOW-rechten en eventuele oproepen voor bevolkingsonderzoeken. Mensen die ten onrechte

rissen te gebruiken. Zo is er het voorbeeld van de burgemeester die via een BIBOB-procedure

uitgeschreven worden uit de BRP hebben daar veel last van (Gemeentelijke Ombudsman Rot-

een vergunning weigerde aan een van de burgers in zijn gemeente. Die burger beschikte over

terdam, 2014). Ten onrechte ingeschreven zijn daarentegen, kan veel onrechtmatige voordelen

contacten in de gemeenteraad. Binnen enkele weken werden er in de gemeenteraad vragen

opleveren. In 2013 werd bekend dat georganiseerde Bulgaarse bendes mensen naar Nederland

gesteld over het declaratiegedrag van de burgemeester. Hier was geen concrete aanleiding toe

lieten komen om zich in te laten schrijven in de BRP. Vervolgens streken de bendes de huur- en

en er bleek ook niets aan de hand te zijn, maar het ontregelde het normale functioneren van de

zorgtoeslagen op. Maar het werkt soms ook andersom. Onder criminelen is een bekende werk-

burgemeester. Het geeft aan dat beïnvloeding vaak op een indirecte, maar daarom niet minder

wijze dat zij zich als emigrant uitschrijven bij de gemeentelijke basisadministratie en daardoor

effectieve manier kan plaatsvinden. Informatie over problemen waar overheidsfunctionarissen

voor de autoriteiten niet meer te traceren zijn. Dat betekent ook dat men geen belastingaan-

ook in hun privéleven mee te maken hebben is ‘goud waard’ in een criminele context. Daarom

slagen opgelegd kan krijgen. Op papier wonen criminelen dan in andere landen, terwijl men

is bijvoorbeeld het bericht dat 600 politiemensen met zodanige schulden te maken hebben, dat

toch veelvuldig in Nederland wordt gesignaleerd. Hier is dus sprake van een gewenst effect als

er beslag op hun loon is gelegd, verontrustend (Ministerie van Veiligheid en Justitie, 2014).

gevolg van niet ingeschreven staan in de BRP. De mogelijk gederfde inkomsten wegen niet op

Hetzelfde geldt voor het zonder goede reden kunnen raadplegen van persoonsgegevens door

tegen het voordeel van de lastige traceerbaarheid.

gemeenteambtenaren via het netwerk Digitaal Klantdossier (DKD), dat ook het werkbedrijf UWV en de Sociale Verzekeringsbank (SVB) gebruiken. Uit een onderzoek van de Inspectie van het ministerie van Sociale Zaken en Werkgelegenheid (SZW) uit 2013 bleek dat in 13 van

Informatie die witwassen kan bevorderen

de 80 onderzochte gemeenten gegevens van bekende Nederlanders worden geraadpleegd zon-

Een van de grote opgaven voor criminele organisaties is het effectief inzetbaar maken van het

der goede reden (Inspectie SZW, 2013).

geld dat zij met hun activiteiten verdienen. Daarbij gaat het naar alle waarschijnlijkheid om grote sommen geld, zoals uit het bovenvermelde onderzoek in Tilburg is gebleken. Een deel daarvan kan consumptief gebruikt worden. Maar dat houdt ook een keer op. Belangrijke delen

Informatie over werking van informatiesystemen

zullen naar andere landen verplaatst worden, om daar zonder al te veel ingewikkeldheden in de

Het functioneren van overheid en samenleving is in toenemende mate gebaseerd op het gebruik

legale economie geïnvesteerd te worden. Maar niet iedereen is daar toe in staat. ‘Eigenlijk is

van grootschalige en complexe informatiesystemen. Toegang tot die systemen bergt de moge-

het best sneu om crimineel te zijn’ zo merkte het hoofd van de Landelijke Recherche laatst op

lijkheid van manipulatie en grote economische en politieke risico’s in zich. Een bekend en fas-

in een interview; ‘want je hebt veel geld, maar het wordt in Nederland steeds ingewikkelder om

cinerend voorbeeld speelde in de Antwerpse haven, waar criminelen toegang hadden weten te

het te gebruiken’ (Stoker en Thijssen, 2014). Dat betekent dat men ook steeds ingenieuzer moet

krijgen tot het geïnformatiseerde containerverwerkingssysteem en daardoor containers konden

worden. Kunstmatige ophoging van het leden- of klantenbestand van een organisatie is daar een

verplaatsen naar door hen gewenste plekken zonder dat aanvankelijk ook maar iemand dat in

voorbeeld van. Daar zijn gegevens uit de BRP voor nodig, waar grif geld voor wordt betaald

de gaten had. Daardoor kon ongemerkt drugs het land worden binnengesmokkeld (Openbaar

als een corrupte medewerker die wil aanleveren. Vervolgens heeft bijvoorbeeld een sportschool

Ministerie, 2013).

geen 2000 maar 4000 leden die allemaal een basisbedrag per jaar aan ‘lidmaatschapskosten’ betalen. Daar betaalt de sportschool keurig belasting over en ondertussen is weer een paar ton

Er zijn natuurlijk vele voorbeelden van vitale infrastructuur, die wanneer criminelen of ter-

aan crimineel geld witgewassen.

roristen er toegang toe hebben, voor grote gevaren en risico’s kunnen zorgen. Het Antwerpse voorbeeld maakt duidelijk dat ook voor ‘gewone’ criminele organisaties hier een interessant werkterrein ligt.

82

83

Cybercrime Het voorbeeld van de Antwerpse haven is een vorm van wat we gemeenlijk cybercrime noemen. Het is voor de hand liggend dat ook ‘traditionele’ criminele organisaties meer en meer de mogelijkheden van ICT gaan gebruiken. Al was het alleen maar omdat in die wereld veel criminele familienetwerken bestaan en er daarbij sprake is van intergenerationele overdracht van crimineel kapitaal. Ook kinderen van criminelen gaan vaak de criminaliteit in, en die kinderen zijn opgegroeid in een wereld waarin het gebruik van ICT een vanzelfsprekendheid is. In dat opzicht lijkt de criminele wereld weer sterk op de ‘gewone’ wereld. Bovendien is er aan geld om hoogwaardige expertise in te huren geen gebrek. Zoals vaak rond de introductie van nieuwe technologie is er ook in de criminele wereld dikwijls sprake van een proces van ‘sedimentatie’; er wordt voortgebouwd op een eerdere laag aan ervaringen en mogelijkheden. Zo zijn bijvoorbeeld in de omgeving van hennepkwekerijen wel stellages aangetroffen waarin tientallen computers bitcoins aan het minen zijn. Daar is veel elektriciteit voor nodig, en het aftappen van elektriciteit behoort tot de kerncompetenties van hennepcriminelen. Tegelijkertijd biedt het beschikken over bitcoins (of andere digitale valuta) weer nieuwe mogelijkheden in het afschermen en inzetten van crimineel geld.

Tot slot Inzet van deze bijdrage is om te laten zien dat informatieveiligheid ook vanuit de optiek van ondermijnende criminaliteit van belang is. Dat heeft in belangrijke mate ook te maken met de aard van die ondermijnende criminaliteit. Dat is niet een aparte grootheid aan de rand van de samenleving, maar een verschijnsel dat op allerlei manieren met het dagelijkse leven van veel mensen verbonden is. In die context is ook de criminele informatiebehoefte verbonden met veel alledaagse activiteiten. Veel criminele informatie-inwinning vindt als het ware en passant plaats, op die plekken waar zich kansen en mogelijkheden voordoen. Systeembeveiliging en menselijke alertheid zijn ook op dit gebied geboden.

85

Bronnen

Pool, B. (2013), Criminele netwerken, onderzoek naar de inzet van sociale netwerkanalyse (SNA) voor het identificeren van criminele meso netwerken bij het Team Criminele Inlichtingen (TCI), Politieaca-

Bell, D. (1953), Crime as an American way of life, Antioch Review 50 (1-2): 109-130

demie, Apeldoorn

Boerman F., M. Grappendaal, F. Nieuwenhuis, E. Stoffers (2012), Nationaal Dreigingsbeeld, Georga-

RIEC Zeeland West-Brabant en Oost-Brabant, Integraal Afpakteam Brabant, Tilburg University (2013),

niseerde Criminaliteit 2012, IPOL, Zoetermeer, 2012

Integraal appel, een confronterend straatbeeld van criminele ondermijning van de samenleving, Oosterhout, RIEC

Bunt, H.G. van de en E.R. Kleemans (2007), Georganiseerde criminaliteit in Nederland, derde rapportage op basis van de Monitor Georganiseerde Criminaliteit, WODC, Den Haag

Schubert, S. (2013), Wie die Hells Angels Deutschlands unterwelt eroberten, Riva Verlag, Munchen

Bunt, H.G. van de en E.R. Kleemans (2012), Georganiseerde criminaliteit in Nederland, vierde rap-

Spapens, A. (2006), Interactie tussen criminaliteit en opsporing, de gevolgen van opsporingsactivitei-

portage op basis van de Monitor Georganiseerde Criminaliteit, WODC, Den Haag

ten voor de organisatie en afscherming van xtc-productie en –handel in Nederland, Antwerpen-Oxford, Intersentia

Dienst Landelijke Informatie Organisatie (2014), Outlawbikers in Nederland, Zoetermeer Spapens, A. (2012), Netwerken op niveau: Criminele micro-, meso- en macronetwerken, Tilburg (oratie) Friedrichs, D.O. (2010) Trusted criminals : white collar crime in contemporary society (4th edition). Belmont, California.: Wadsworth Cengage Learning

Stoker, E. en W. Thijssen (2014), ‘Helpers crimineel zijn ondermijnend’, interview met Wilbert Paulissen, chef landelijke recherche, in: Volkskrant, 17 juli 2014

Gemeentelijke Ombudsman Rotterdam (2014), Opsporing Verzocht! Een onderzoek naar de gang van zaken voor, tijdens en na een adresonderzoek en de uitschrijving uit de GBA. Rotterdam

Stuurgroep Geïntegreerde aanpak Ondermijnende Criminaliteit (GOC) (2013), Integraal, tenzij…, leidraad om samen het criminele ondernemingsklimaat te verslechteren, Rijksoverheid, Den Haag

Inspectie SZW (2013), Overzichtsstudie informatieprocessen, Nota van bevindingen, Den Haag Tops, P., M. van Duin, P. van Os en S. Zouridis (2010), Sleuren of sturen, gemeenten en de sturing van Klerks, P. (2000), Groot in de hasj, theorie en praktijk van de georganiseerde criminaliteit, Antwer-

veiligheid en politie, Den Haag/Apeldoorn

pen, Samson/Kluwer Rechtswetenschappen Torre, E. van der, B. Beke en M. van Duin (2010), Stads- en regioscan in de grootste Ministerie van Veiligheid en Justitie (2014), Antwoorden kamervragen over het bericht dat steeds

Brabantse gemeenten, De achtergronden van onveilige GVI scores, Publieksversie, Apeldoorn, Politie

meer agenten kampen met schulden, 26 augustus 2014, Den Haag

en Wetenschap

Nelen, H. and W. Huisman (2008), Breaking the Power of Organized Crime? The Administrative

Taskforce B5 (2013), Hart voor Brabant, hard tegen criminaliteit, Voorstel ontwerp Taskforce 2014-

Approach in Amsterdam , in: D. Siegel and H. Nelen (ed.), Organized Crime: Culture, Markets and

2017, Oosterhout (intern document)

Policies, Studies in Organized Crime, Vol.7, pp. 207-218 Springer Science Zouridis, S., P.W. Tops en R. Peeters (2013), Bestrijding van criminele ondermijning in Noord-BraOpenbaar Ministerie (2013), Drugshandelaren hacken rederijen en ontvreemden containers met co-

bant, De Taskforce B5 als katalysator van samenwerking, Tilburgse School voor Politiek en Bestuur,

caïne, www.om.nl/actueel/nieuwsberichten/@161061/drugshandelaren/

Universiteit van Tilburg

Papachristos, A.V. and C.M. Smith (2012), The Small World of Al Capone, The Embedded Nature of Criminal and Legitimate Social Networks, available at SSRN: ssrn.com/abstract=2159899 or dx.doi. org/10.2139/ssrn.2159899

86

1 Het begrip trusted criminals is overigens gemunt door Friedrichs in zijn studie naar ‘white collar crime’, waar het de betekenis heeft van personen die misbruik maken van een gerespecteerde maatschappelijke positie en daarmee het aan hen toegekende vertrouwen misbruiken (Friedrichs, 2010:10). Hier gebruiken we de term in zekere zin in tegenovergestelde zin: personen uit de georganiseerde criminaliteit die - desondanks of daardoor - bij anderen vertrouwen weten te ontwikkelen.

87

6. Framing informatieveiligheid. Over slachtoffers, schurken en helden hans de bruijn

Hoogleraar bestuurskunde Technische Universiteit Delft

Foto: Sorbis / Shutterstock.com

“Continuïteit van de dienstverlening en het vertrouwen van burgers staan centraal als het om informatieveiligheid gaat. Zeker nu digitale dienstverlening steeds onmisbaarder wordt.” mr.

J.A. van den Bos, Inspecteur-generaal Ministerie van SZW

Inleiding Iedereen begrijpt: informatieveiligheid doet er toe. Alles en iedereen heeft wel iets met informatieveiligheid te maken en de gevolgen van onvoldoende informatieveiligheid kunnen immens zijn – zie Wikileaks, de NSA-affaire, de gehackte telefoon van een minister, of bijna dagelijkse berichten van persoonlijke gegevens die onvoldoende beveiligd blijken te zijn. De eerste aanname die ik van de redacteuren van deze bundel heb meegekregen is dat de politiek-bestuurlijke attentie voor informatieveiligheid erg beperkt is. Van veel maatschappelijke belangstelling lijkt ook al geen sprake te zijn. De tweede aanname die ik heb meegekregen is dat dit een probleem is. Onvoldoende politiek-bestuurlijke aandacht levert namelijk een aantal belangrijke risico’s op. Bijvoorbeeld rond de aansturing van informatieveiligheid, de beschikbaarheid van geld en de controle op de kwaliteit van de informatieveiligheid. Onvoldoende maatschappelijke aandacht kan zich vertalen in onvoldoende maatschappelijke alertheid – en is dus ook gevaarlijk. Aannames zijn aannames, dus op de vraag of de twee aannames juist zijn, ga ik verder niet in. Aan mij de vraag iets te zeggen over de framing van informatieveiligheid: is er een framing van informatieveiligheid denkbaar die tot meer politieke, bestuurlijke en maatschappelijke attentie leidt? Bij framing gaat het om de vraag welke taal we kunnen gebruiken om meer aandacht te krijgen voor het thema informatieveiligheid.

89

De onder-attentie voor informatieveiligheid: begrijpelijk

nu van burgers die schade hebben geleden door een gebrek aan informatieveiligheid? Wie

Voordat ik op de framing van informatieveiligheid inga, sta ik eerst kort stil bij de vraag waar

zich in zijn persoonlijke levenssfeer geen zorgen maakt over informatieveiligheid, is waar-

die veronderstelde onder-attentie vandaan zou kunnen komen. Wanneer we naar de verschillende

schijnlijk ook niet gevoelig voor vraagstukken van informatieveiligheid die de persoonlijke

spelers in het debat over informatieveiligheid kijken, wat kunnen dan redenen zijn om zo weinig

levenssfeer overstijgen. Dat moeten experts gewoon netjes regelen.

aandacht aan informatieveiligheid te besteden? Ik probeer begrijpelijk te maken waarom die spelers geen boodschap hebben aan informatieveiligheid – niet omdat dat altijd zo is, maar omdat



- Take care of Me. Er zijn burgers die zich wel zorgen maken, en dus willen dat er voor hen wordt gezorgd. Door de bank, door de overheid, door de Belastingdienst – die moeten over

dat helpt effectieve framing-strategieën op het spoor te komen.

hun veiligheid waken. De vergelijking met Facility Management dringt zich op. In iedere De politiek

organisatie is Facility Management er om de dingen goed te regelen. Een goede manager

Wat moet een politicus met informatieveiligheid? Iedereen is voor informatieveiligheid, dus het

Facility Management is iemand die minimale aandacht krijgt van management – dat be-

onderwerp leent zich niet erg voor politisering en politieke profilering. Bovendien is informatie-

tekent namelijk dat de dingen goed gaan. Take care of Me bevestigt het technocratische

veiligheid toch vooral een technisch vraagstuk. Het thema komt daarmee als snel terecht in de

frame.

categorie ‘gewoon netjes technisch en juridisch regelen’. Het logische gevolg daarvan: weinig politiek bestuurlijke aandacht.



- I Will Protect Myself. En dan zijn er e-savvy burgers, die zichzelf weten te organiseren als het gaat om veiligheid. Ze beschermen hun informatie, maken bewuste keuzes ten aanzien

Wanneer er wel sprake is van politiek bestuurlijke aandacht, doet het technisch karakter van in-

van epd’s, maken gebruik van de mogelijkheid hun geschiedenis op het web te wissen – etc.

formatieveiligheid ook zijn werk. Van parlementsleden kan in redelijkheid niet worden verwacht

Het zijn burgers die een aanbod van technische en juridische opties willen hebben om zich-

dat zij over de kennis en kunde beschikken om alle inhoudelijke ontwikkelingen rond informa-

zelf te beschermen. En ook deze burgers bevestigen dat technocratische frame. Overheid,

tieveiligheid goed te kunnen beoordelen. Wie over onvoldoende inhoudelijke expertise beschikt,

providers, dienstverleners moeten zorgen voor zoveel mogelijk opties waarmee deze bur-

vlucht vaak in de vraagstukken van de organisatie en financiering. Dus ook wanneer wel sprake

gers zich kunnen beschermen – en dan geloven ze het verder wel.

is van politiek bestuurlijke aandacht, kan nog steeds sprake zijn van onder-attentie voor de inhoudelijke vraagstukken van informatieveiligheid.

Bedrijven Veel bedrijven hebben problemen met informatieveiligheid. Soms frequent, soms af en toe. Voor

De uitzondering is uiteraard die ene keer dat het eens stevig misgaat, zoals bij DigiNotar. Er is

het ene bedrijf hebben de problemen betrekking op de kern van de bedrijfsprocessen, voor het

politiek even flinke heisa,daarna verdwijnt het onderwerp weer onder de radar en wordt het het

andere zijn ze wat meer perifeer. Vrijwel altijd geldt: als een bedrijf een probleem met informa-

domein van specialisten. Het onderwerp wordt in een technocratisch frame gezet.

tieveiligheid heeft, heeft het er ook een belang bij om dat niet naar buiten te brengen, maar intern op te lossen. Dat voorkomt reputatieschade of dat er strategisch belangrijke informatie naar buiten

Misschien moeten al die specialisten ook wel hun zegeningen tellen dat de politieke attentie

gaat. Wanneer dit afschermen van problemen niet mogelijk is – bijvoorbeeld omdat de veiligheids-

beperkt is. Wanneer een onderwerp zich voor langere tijd onder de politiek-bestuurlijke radar

problemen voor iedereen zichtbaar zijn (problemen met internetbankieren) – is het belang om de

bevindt, levert dat voor de betrokken experts een zekere rust op. Zij kunnen hun plannen ont-

problemen zoveel mogelijk als tijdelijk en incidenteel en oplosbaar te framen. In alle gevallen geldt:

wikkelen en uitvoeren, zonder dat ze al te veel last hebben van politiek-bestuurlijke interventies.

de prikkels voor een maatschappelijk debat zijn minimaal. Politiek-bestuurlijke aandacht helpt dit soort bedrijven ook niet.

Burgers Ook in de samenleving is informatieveiligheid geen groot thema. Natuurlijk, informatieveiligheid

Natuurlijk zijn er overheidsorganisaties die veel aandacht besteden aan informatieveiligheid. Denk

komt letterlijk je huis binnen: je tablet is je leven en de informatie op je tablet is niet zondermeer

aan de Belastingdienst, Dienst Justitiële Inrichtingen (DJI) en het Centraal Justitiële incassobureau

veilig. Ik zie drie typen burgers met drie typen houdingen, die alledrie tot onder-attentie leiden.

(CJIB). Het dominante frame lijkt echter te zijn dat informatieveiligheid een ‘sine qua non’ is voor goede dienstverlening door de overheid. Een dergelijk frame past natuurlijk helemaal in het eerder-



90

- No Worries. Er zijn burgers die zich gewoon weinig zorgen maken over informatievei-

genoemde technocratische frame. ‘Goede dienstverlening’ klinkt operationeel en technisch en moet

ligheid. En gelijk hebben we, zullen ze denken. Ga maar na: hoeveel voorbeelden zijn er

gewoon worden georganiseerd. Het vergt verder geen inhoudelijke politiek bestuurlijke aandacht.

91

“Als er ergens in de gemeentelijke keten zwakke plekken zitten, bepaalt dat de sterkte van het hele gemeentelijke domein.”

Foto: Gertan / Shutterstock.com

Frans Backhuijs, Burgemeester Nieuwegein

Het is een hele dominante onderstroom in de samenleving anno nu. Stel nu dat ik tegen een bepaald De conclusie: veel spelers hebben nauwelijks prikkels om informatieveiligheid hoog op de

beleid in de zorg ben. Dan helpt het als ik dat beleid frame als beleid dat ‘alleen maar tot nog meer

agenda te zetten. De vraag is of een andere framing van informatieveiligheid daarin iets kan

managers leidt’. Dat frame raakt aan die onderstroom en roept een soort ‘daar gaan we weer’ gevoel

veranderen. Ik zeg eerst kort iets over framing in het algemeen.

op. Ik heb meteen aandacht: meer management moet immers bestreden worden. In een derde verhaalstructuur wordt het belang van personalisering benadrukt. In onze politieke

Het ABC van framing

cultuur heeft zich in de jaren negentig een belangrijke ommekeer voorgedaan. In de decennia daar-

Bij framing gaat het om de taal die we gebruiken – die is niet neutraal, maar heel vaak waarde-gela-

voor werd het publieke debat sterk beheerst door de ‘Bigger Than Self issues’: een rechtvaardige

den. In de manier waarop we taal gebruiken, komen waarden en opvattingen mee. In de onderstaande

inkomensverdeling, Noord-Zuid verhoudingen, het milieu en de leefomgeving. Vanaf de jaren ne-

twee zinnen wordt twee keer eenzelfde werkelijkheid beschreven:

gentig verschuift de aandacht naar ‘Quality of Life issues’: de schone straat, de veilige buurt, de goede school. ‘Quality of Life issues’ hebben veel meer te maken met de directe, persoonlijke



De mastodont verwoordde een ouderwets liberaal standpunt.



De partijprominent verwoordde een klassiek liberaal standpunt.

leefomgeving dan de ‘Bigger Than Self issues’. Voor framing betekent dit dat het de kunst is om grote en abstracte onderwerpen – zoals informatieveiligheid – naar de directe leefomgeving van burgers te brengen.

De zinnen roepen heel verschillende waardeoordelen op. Hier gaat het alleen nog om woorden, bij

Framing informatieveiligheid - Food for thought

framing zijn ook verhaalstructuren belangrijk. Ik bespreek er drie, die ik vervolgens gebruik in de

Bij de voorstellen voor framing van informatieveiligheid, die ik nu doe, zal ik ter inspiratie steeds

zoektocht naar frames om informatieveiligheid over het voetlicht te krijgen.

voorbeelden gebruiken uit andere sectoren.

De eerste verhaalstructuur wordt sterk gedragen door emotie. Neem een geweldsincident op straat.

1. Het probleem van informatieveiligheid is ernstig – maar voorkom alarmisme, ‘Hell does not sell’

Wie daarvan getuige is – op straat, via de TV of sociale media – voelt emotie. Is er sprake van emotie, dan hebben onze frames een vaak heel eenvoudige structuur. Er is sprake van een slachtoffer, een

Het lastige van informatieveiligheid is dat het overal en altijd een issue is. Sluizen, elektriciteits-

schurk (de dader) en we verwachten dus ook een held: degene die met ons ook verontwaardigd is, het

centrales, tegoeden op de bank, foto’s op een tablet – overal speelt het vraagstuk van informatie-

slachtoffer beschermt en de schurk te pakken neemt. Dat kan bijvoorbeeld een burgemeester of een

veiligheid. Dat betekent dat overal het gevaar loert – van terroristen, boeven, hackers, nieuwsgie-

minister zijn. Dat was jarenlang de kracht van iemand als de voormalige Rotterdamse burgemeester

rige ambtenaren, slonzige medewerkers in een shared service centrum en ga zo maar door. If it is

Opstelten. Er wordt iemand in elkaar geslagen? De burgemeester: ‘Tuig’. ‘Oppakken’. ‘Keihard aan-

everything, maybe it is nothing is het mechanisme en dat geldt ook hier. Dat geldt zeker wanneer

pakken’. Het is allemaal even eenvoudig als effectief. Wie in een dergelijke situatie begint over de

deskundigen ons ook nog eens voortdurend wijzen op de grote risico’s die we lopen als de infor-

complexiteit van het probleem van geweld op straat en dat die problematiek zich niet makkelijk laat

matieveiligheid niet op orde is. Want wat is het paradoxale effect hiervan? Wat gebeurt er wanneer

oplossen, pakt de heldenrol niet. Natuurlijk, er zijn altijd beren op de weg. Maar wat doet de held?

we voortdurend horen dat informatie overal is, dat die niet veilig is en dat de gevolgen immens

Opstelten: ‘Dan gaan we die beer eens rustig bekijken. En dan gaan we die beer opruimen.’

kunnen zijn?

De tweede verhaalstructuur werkt met onderstromen die zich in de samenleving bevinden. Onder een

Het mechanisme: wanneer een gevaar te groot wordt gemaakt, is het effect dat de toehoorder het

onderstroom versta ik een opvatting die breed leeft, die voor langere tijd stand houdt. Het gaat om

gevaar gaat ontkennen. We kennen dit verschijnsel uit het debat over de opwarming van de aarde.

‘taken for granted’ opvattingen, waarover we eigenlijk niet meer nadenken.

Wetenschappers waarschuwen in vaak alarmerende taal over de gevolgen daarvan: ‘dramatische effecten’, ‘onomkeerbare ontwikkeling’, ‘groter dan aanvankelijk gedacht’. Wat is het effect? Bij de

Een voorbeeld van zo’n onderstroom is het idee dat veel organisaties over-managed zijn. Of het nu

toehoorder ontstaat het beeld dat de problemen zo groot en veelomvattend zijn, dat niemand meer in

gaat om de zorg, het onderwijs, de politie of de rechtspraak – steeds weer is er de klacht dat managers

control is. Dat is mentaal een onverdraaglijke gedachte – en dus gaan we het gevaar bagatelliseren

daar heersen over de professionals. Die managers zijn bovendien vaak graaiers – en dus bad guys, de

of zelfs ontkennen. En we vinden altijd wel iets dat die ontkenning ondersteunt. Informatieveilig-

professionals zijn de good guys.

heid een groot probleem? Welke echt grote ongelukken hebben we nu meegemaakt, de afgelopen

94

95

decennia? We hebben miljarden gestoken in het demonteren van een millennium bug en misschien was dat wel een grote hoax van de veiligheidsmaffia. Voor de veiligheidsmaffia is het nooit genoeg, je kunt alles altijd nog veiliger maken, maar de vraag is of dat kosteneffectief is. Of zet informatieveiligheid in het frame van falende grote projecten. Grote projecten lopen vrijwel altijd uit de hand, dat geldt zeker voor grote IT-projecten en informatieveiligheid is gewoon zo’n soort project – het wordt altijd duurder dan gedacht, later opgeleverd en doet heel vaak niet wat het moet doen. De uitweg? Als het gaat over opwarming van de aarde, wordt vaak gezegd dat de framing minder over problemen en meer over oplossingen moet gaan. Wie in problemen communiceert, verlamt toehoorders. Wie in oplossingen communiceert, empowert toehoorders. Ik ga er straks wat meer over zeggen. 2. Waar zijn de schurken en slachtoffers? – probeer die duidelijker over het voetlicht te krijgen ‘Foreign Affairs Minister Julie Bishop’s mobile phone was compromised while she was overseas leading tense negotiations to win access to the MH17 crash site in Ukraine’ meldt de Herald Sun op 16 augustus 2014 (Bishop is de minister van Buitenlandse Zaken van Australië). Door wie? Dat wordt niet verteld, anders dan dat het waarschijnlijk om een buitenlandse mogendheid gaat. Het maakt een goede framing van informatieveiligheid lastig: er is vrijwel nooit een duidelijk schurk. Als er al een schurk is, dan is dat in de beeldvorming vaak een charmante schurk: wanneer een zestienjarige hacker een bedrijf aanvalt, mag dat misschien niet, maar ligt de sympathie toch bij de hacker. Zoals gezegd, het slachtoffer is vaak ook afwezig omdat het er belang bij heeft om problemen met informatieveiligheid niet naar buiten te brengen. En daarmee wordt meteen een belangrijke paradox rond dit thema duidelijk. Enerzijds, informatieveiligheid moet meer maatschappelijke attentie krijgen. Anderzijds, inherent aan informatieveiligheid is dat veel buiten de openbaarheid moet blijven. Iets dergelijks zien we bij de eurocrisis, waar het steeds ging over ‘de financiële markten’ die hun vertrouwen in de euro dreigden te verliezen. Ook dat is abstractie, waar niemand zich iets bij kan voorstellen. Als deze analyse klopt, is het de vraag of in de framing van informatieveiligheid toch niet vaker schurken en slachtoffers kunnen worden geëxpliciteerd – zodat we ons iets kunnen gaan voorstellen

3. Wat doen de helden eigenlijk? Laat die uit de schaduw treden. ‘Hell does not sell’ is de boodschap hierboven. De slachtoffers en schurken zijn te anoniem, was de volgende boodschap. Dan is er nog een rol over: die van de held. Dat is degene die dankzij zijn

96

Foto: Mauvries / Shutterstock.com

bij informatieveiligheid.

expertise en alertheid over onze informatieveiligheid waakt en blijkbaar grote rampen voorkomt.

zijn een van de meest connected landen ter wereld, dus uiteraard staat informatieveiligheid in

Het is degene die de oplossingen ontwerpt en ons zo empowert. Ook hier geldt weer: het is voor

Nederland hoog op de agenda. Of het ooit zover komt, weten we natuurlijk niet – maar wie weet

ons volkomen onzichtbaar wat deze helden uitspoken. Vrijwel niemand heeft er een beeld bij.

welke dynamiek er ontstaat, wanneer het gegeven van de data-hub publicitair meer wordt benut.

Zitten er op de cyber-afdelingen bij banken en overheden superslimme jonge beta’s die op zeer ingenieuze wijze cybercriminelen de loef afsteken? Of moeten we ons afdelingen voorstellen die

5. Raak ons in onze persoonlijke omgeving

doen denken aan ‘Debiteuren, Crediteuren’ van Jiskefet? Geen idee. Personalisering kan helpen om aandacht voor een onderwerp te krijgen. Dat is best wel lastig. Ook hier is er een mooie analogie. Amsterdam heeft veel ellende gekend rond de aanleg van de

Zoals gezegd, zo vreselijk veel voorbeelden van informatieveiligheid die onze directe leefomge-

Noord-Zuidlijn. Wanneer het project zich op het dieptepunt van maatschappelijke steun bevindt,

ving raakt, zijn er niet – althans niet in de beeldvorming. De beeldvorming is misschien ook wel

wordt gekozen voor een radicaal andere communicatiestrategie. De mannen en vrouwen die diep

dat het met de informatieveiligheid in Nederland allemaal goed geregeld is. Het is ook weer zo’n

onder de grond het echte werk doen – de bouwers en de gravers – worden centraal gesteld. De

paradox. Een samenleving moet attentie hebben voor informatieveiligheid. Edoch hoe beter de

tunnel krijgt daardoor een gezicht. Wie de posters en filmpjes (YouTube!) van deze mannen

informatieveiligheid is georganiseerd, des te minder problemen, en dus des te minder attentie –

en vrouwen ziet, raakt onder de indruk van hun werk. Het is ongelofelijk ingewikkeld en heel

met als risico dat er onvoldoende attentie dreigt.

ingenieus. De gravers blijken overal ter wereld geweest te zijn. En vooral: de bouwers en gravers krijgen een gezicht, worden persoonlijk gemaakt en dat is heel belangrijk: we kunnen ons

Natuurlijk zijn er voorbeelden van informatieveiligheid die de eigen leefomgeving raakt. Een

identificeren met de mannen en vrouwen en ze nemen ons ook mee in de complexiteit van hun

credit card wordt misbruikt of een mailbox wordt geïnfecteerd – maar vaak met een of meer van

werk. Best case is dat het ook tot meer vertrouwen leidt in een project – we zien immers ook hoe

de volgende kenmerken:

ervaren en deskundig deze mannen en vrouwen zijn. (1) het is allemaal niet frequent, De vraag is natuurlijk of zoiets ook mogelijk is rond informatieveiligheid. Geef de mannen en

(2) de schade is beperkt of wordt vaak vergoed,

vrouwen die voor onze informatieveiligheid werken een gezicht. Neem ons een beetje mee in de

(3) de boef is een anoniem iemand.

complexiteit van hun werk. Zorg dat we daarvan onder de indruk raken. Laat ook hun successen zien. Als informatieveiligheid het nieuws haalt, gaat het meestal over dingen die mis gaan - suc-

Hoe breng je het wel dichter naar de leefomgeving? Breng voorbeelden naar buiten die op deze

cessen in de strijd om informatieveiligheid zijn nu beter voor de moraal dan een eindeloze stroom

criteria juist anders scoren. Hoeveel elektronische informatie is bijvoorbeeld in te zien door

berichten over wat er steeds mis gaat.

personen uit mijn directe omgeving? Wie kan allemaal in mijn personeelsdossier kijken? Hoe betrouwbaar zijn die mensen? Bij de apotheek zien de medewerkers mijn medische geschiedenis

Samengevat, als slachtoffer en schurk onder de radar blijven, dan kan wellicht de held een wat

in het EPD. Als straks de drie grote decentralisaties zijn ingevoerd, zijn er nog meer personen in

duidelijker profiel krijgen en kan de sense of urgency dat informatieveiligheid een echt groot

mijn directe omgeving die mijn dossiers kennen. Dan is de boef niet meer anoniem, maar woont

issue is, worden versterkt.

misschien wel bij mij in de straat. Het gaat om een schade die zich niet laat vergoeden. En het zou wel eens heel frequent kunnen zijn.

4. Benut het gegeven dat Nederland een data-hub is Natuurlijk is hier het risico van ‘Hell does not sell’ – we maken de ellende zo groot, dat ze onHiermee verbonden is de observatie dat Nederland een belangrijke globale data-hub is. Wellicht

controleerbaar lijkt. Vaak geldt dan ook: als je het probleem benoemt, lever de oplossing er dan

biedt dit mogelijkheden om informatieveiligheid over het voetlicht te krijgen. Veel Nederlanders

bij, anders voelen we ons machteloos. En daar hebben we de vierde paradox. We moeten het pro-

weten dat de luchthaven van Amsterdam en de zeehaven van Rotterdam belangrijke globale hubs

bleem personaliseren, maar dan wel de oplossing er bij leveren, anders dreigt ‘Hell does not sell’.

zijn. Maar hoeveel Nederlanders weten dat ons land ook een data-hub is? Wanneer dat beeld ster-

Maar als we de oplossing erbij leveren, kan dat weer ten koste gaan van onze ‘sense of urgency’.

ker wordt uitgedragen en gevisualiseerd, kan er misschien ook meer ontvankelijkheid ontstaan voor het idee dat informatieveiligheid hoog op de politiek bestuurlijke agenda behoort te staan. Nationale trots zou hier zelfs een rol kunnen spelen: wij zijn een cruciale globale data-hub, wij

98

99

6. Benut onderstromen in de samenleving – ISIS, innovatie, big data …

Tenslotte Verandering is natuurlijk nooit alleen het resultaat van framing. Tien jaar geleden waren studenten

Een volgende belangrijke strategie om attentie te krijgen voor een onderwerp, is om het te koppelen

techniek in de beeldvorming vaak vreemde, onaantrekkelijke nerds. Nu associëren we een studie

aan belangrijke onderstromen in de samenleving.

techniek met innovatie en zijn studenten de hippe slimmeriken. Dat heeft iets te maken framing, denk aan de beta-campagnes, maar ook met autonome maatschappelijke ontwikkelingen. De op-

Een onderstroom die sinds dit jaar weer heel sterk is en ongetwijfeld nog lang zal bestaan, is de

komst van het belang van technologische innovatie bijvoorbeeld. Natuurlijk is het wel weer zaak

angst voor en afkeer van terrorisme als dat van de Islamitische Staat (ISIS). Informatieveiligheid

om in de framing op die ontwikkelingen aan te haken.

kan daaraan worden gekoppeld. Benadruk in het publieke debat dat de slag tegen ISIS er niet alleen een met wapens is, maar ook – vooral – een van informatieveiligheid en je hebt onmiddellijk

Framing is ook echt een zaak van de lange adem. Frames veranderen de maatschappelijke opvatting

aandacht. Het afknijpen van financiële stromen, het identificeren van het leiderschap, het bescher-

alleen als ze inslijten – en dat neemt nu eenmaal tijd.

men van onze vitale infrastructuren tegen de gekken van de ISIS – het is allemaal een kwestie van informatieveiligheid.

En misschien wel het belangrijkste: framing mag natuurlijk niet los staan van de werkelijkheid – dan wordt het manipulatie. Dus achter ieder frame moet een werkelijkheid schuil gaan, waarvan het

Wellicht laat informatieveiligheid zich ook koppelen aan onderstromen die een meer positieve con-

frame ‘slechts’ de verwoording is.

notatie hebben. Innovatie is cruciaal voor de Westerse economieën, is een ‘taken for granted’ onderstroom. Laat informatieveiligheid zich daaraan koppelen? We zijn als data-hub heel innovatief als het gaat om informatieveiligheid-technologie? We weten Big Data te benutten voor informatievei-

Bron

ligheid - big data analisten weten vormen van informatieonveiligheid te traceren? Hans de Bruijn (2014), Framing. Over de macht van taal in de politiek, Amsterdam: AtlasContact, 7. De zielloze taal van informatieveiligheid – knap je taalgebruik op

7e druk

Tenslotte – misschien is het ook eens goed om de taal waarin dit debat wordt gevoerd nader te bezien. ‘Informatieveiligheid’ is een zielloze term. De taal rondom informatieveiligheid is meestal bloedeloos: ‘beheersmaatregelen’, ‘functionaliteiten’, ‘systemen’, ‘projectplannen’. Daar gaat niets van uit, je voelt er niets bij. Vaak gaat het in het debat over ‘prinformatieveiligheidacy’ – het is een begrip dat zo vaak wordt gebruikt, dat het versleten kan raken. Taal moet waarden raken of emoties, dan activeert ze ons. Ik kan hier geen hele nieuwe taal aanbieden, maar denk eens aan woorden als ‘intimiteit’, ‘binnendringen’, ‘afnemen’, ‘voor altijd kwijt’ – dat gaat ook over informatieveiligheid en daar zit wel gevoel in. Informatieveiligheid is een thema dat ook tot veel masculien taalgebruik leidt – de taal van de projectmanager. Ooit constateerden de Republikeinen dat ze heel goed scoorden met het thema ‘veiligheid’ onder de kiezers met een masculien waardenpatroon en slecht onder de kiezers met een feminien waardenpatroon. Ze vonden vervolgens de ‘security mum’ uit – de moeder die veiligheid wil voor haar kinderen. Wat je er ook van vindt: het idee is dat je door nieuwe taal en begrippen het thema veiligheid ook aantrekkelijk wil maken voor toehoorders die een afkeer hebben van het gehamer op veiligheidsissues.

100

101

michel van eeten corien prins mark van twist martijn van der steen geert munnichs linda kool

Deel 2:

Samenwerken en verbinden

frans brom

essays 103

7.

Elegant falen in het tijdperk

“Het is een thema

van feodale veiligheid

waar we meer en meer mee worden geconfronteerd en wat we bestuurlijk moeten beleggen.”

michel van eeten

Professor Technische Universiteit Delft

Dick van Hemmen, Burgemeester Nunspeet

Wanneer heeft u voor het laatst iemand horen zeggen: ‘Wij gaan een groot automatiseringsproject doen om de veiligheid van onze processen te verhogen’? Mijn vermoeden is: dat hoort u zelden of nooit. Er zijn allerlei redenen waarom overheden informatiesystemen bouwen of uitbreiden, maar veiligheid is er zelden een van.1 Veiligheid is geen doel op zich, behalve voor de veiligheidsdiensten. De overheid doet deze projecten met andere motieven. Innovatie, kwaliteit, transparantie, betere dienstverlening. En vaak, achter alle hoera-begrippen, is de ware drijvende kracht: bezuinigingen. In het beleidsjargon heet dat doorgaans “efficiency”. Dat lijkt hetzelfde, maar is het niet. Bij efficiency ga je automatiseren in de hoop daarna geld te besparen, dat je dan elders kunt aanwenden. Maar bij bezuinigingen gaat de besparing vaak vooraf aan de automatisering. Daarna is het niet alleen afwachten of de efficiency werkelijk omhoog gaat, maar ook of het primaire proces überhaupt overeind blijft. Zie het geplaagde werk.nl. Maar dan is de bezuiniging al gerealiseerd. Op papier tenminste. Deze context doet er toe. Sterker nog, hij is cruciaal voor elk gesprek over de veiligheid van bestuurlijke informatiediensten. Toch wordt hij veelal genegeerd, vooral door veiligheidsexperts. Die redeneren doorgaans via een eenvoudig sjabloon – een sjabloon dat prettig genoeg hun expertise de schijn van urgentie meegeeft en hun producten voorstelt als hoogst noodzakelijke investeringen. Het sjabloon kennen we in talloze variaties van hetzelfde betoog: ‘Dienst X kent bepaalde kwetsbaarheden en is

105

dus onveilig.’ Of: ‘Systeem Y introduceert nieuwe risico’s en vereist daarom aanvullende investerin-

Risicoanalyses kunnen, mits goed uitgevoerd, nuttig zijn. Maar de complexiteit van informatietech-

gen.’ Alsof dat nieuws is.

nologie is te groot om zich in dit keurslijf te laten dwingen. Om zich in welk keurslijf dan ook te laten dwingen. Grootschalige ICT is beperkt beheersbaar. Dat is de les van lijst van problematische

Natuurlijk kennen systemen kwetsbaarheden en introduceren ze nieuwe risico’s. Een veilig systeem is

ICT-projecten die extra parlementaire aandacht hebben weten te verwerven.

een systeem dat niet gebouwd wordt. (Tot voor kort zei ik altijd: ‘een veilig systeem is een systeem dat uit staat’, maar inmiddels weten we dat de NSA manieren heeft om systemen die uitgeschakeld zijn

Een beetje systeem bestaat al snel uit tienduizenden onderdelen elk met tientallen miljoenen regels

evengoed te infiltreren.) Veiligheid is altijd onvolkomen. Een systeem is nooit ‘veilig’, het is hoog-

code. Tel uit je winst. Zoals een systeemanaliste ooit schreef: ‘The chief manifestation of complexi-

stens minder of meer onveilig. Mantra’s als ‘security by design’ zijn dan ook holle frases. De enige

ty is surprise.’3 Wanneer die verrassingen optreden, leggen ze al snel de discrepantie bloot tussen

zinnige interpretatie ervan is een banaliteit: hou bij het ontwerp rekening met veiligheid. Tja. Alsof er

de papieren realiteit of de beweringen van een leverancier en het daadwerkelijke functioneren van

iemand is die het tegendeel beweert.

een systeem.

Kortom, als we een systeem bouwen, nemen we altijd zekere risico’s. God zij dank, zou ik zeggen.

Ja maar, bij de banken en andere grote bedrijven lukt het toch wel om die complexiteit in de hand

Je zou het haast vergeten in onze door risico’s geobsedeerde maatschappij: we danken onze welvaart

te houden? Nou nee. De paradox is dat die bedrijven veel incrementeler innoveren dan de overheid.

en gezondheid aan het nemen van risico’s, niet het vermijden ervan. Voorkomen is op termijn vaak

Hun ICT-voorzieningen zijn lappendekens van verschillende systemen die in de afgelopen dertig

erger dan genezen.

jaar zijn gebouwd. Die functioneren allemaal naast elkaar. Daar zit geen grote ontwerpvisie achter,

2

juist niet, eerder een principe dat respect uitdrukt voor complexiteit: ‘If it ain’t broke, don’t fix it.’ De vraag of iets veilig genoeg is, kan nooit alleen beantwoord worden op basis van inzicht in de tech-

Het duurt een poos voor je de reguliere fouten uit een systeem hebt gehaald. Daarna duurt het nog

nische risico’s of het optreden van incidenten. Er liggen allerlei impliciete en expliciete afwegingen

jaren voordat je de onregelmatige, vreemde fouten hebt ontdekt, begrepen en gerepareerd. En dan

ten grondslag aan veiligheidskeuzes. Veiligheid kost geld. Alleen al daarom is het economisch wen-

heb je eindelijk een complex systeem dat enigszins stabiel en voorspelbaar functioneert. Tegen die

selijk een zekere mate van onveiligheid te tolereren. Of iets veilig genoeg is hangt af van de gevolgen

tijd heeft het technologische front zich allang weer verplaatst, natuurlijk. Maar deze organisaties

van hogere of lagere veiligheid voor andere waarden, zoals efficiëntie, bruikbaarheid, toegankelijk-

weten dat het daar niet om gaat. Je blijft af van die zuurverdiende stabiliteit. Vernieuwingen bouw

heid, transparantie, vrijheid en innovatievermogen.

je vervolgens naast die oudere systemen, zelfden in plaats ervan. Ja, het is rommelig. De nieuwe systemen, de recentste lapjes in de deken, kunnen complexe interacties aangaan met de oudere sys-

Het nemen van risico’s is dus niet ten principale verkeerd, integendeel. Daarom zullen we ook moeten

temen. Maar die zijn nog altijd beter te controleren dan de interacties in een grootschalig systeem

accepteren dat er zaken zullen misgaan. Toch is het soms te makkelijk wanneer overheden die veilig-

dat met een schone lei is gebouwd. Schone-lei-denken is de vijand van beheersing. Overheden,

heidsproblemen afdoen met: ‘Shit happens’. Of in de nette, eufemistische variant: ‘Honderd procent

daarentegen, zijn de gewillige slachtoffers gebleken van het schone-lei-denken en van de ICT-le-

veiligheid bestaat niet’. De gedachte dat we bepaalde risico’s beter kunnen accepteren, is gebaseerd

veranciers deze ontwerpen verkochten als oplossing: weg met de lappendeken, op naar de geïnte-

op in ieder geval twee cruciale aannames: de overheid heeft de risico’s correct ingeschat en de risico’s

greerde, elegante totaal-ontwerpen. Telkens lag de verleiding op de loer om het dan ook maar in

worden niet op derden afgewenteld.

een keer goed te doen. Niet te klein denken, maar meteen een complete oplossing neerleggen. Deze verleidingen drukken een minachting uit voor lappendekens, voor complexiteit. En ze zijn de snel-

De overheid zal steeds aangesproken kunnen worden op competente risico-inschattingen en op recht-

ste routes naar grootschalige debacles. Ook op veiligheidsgebied. Dan hoort een bestuurder zichzelf

vaardige risicoverdelingen. In veel van de recente problemen rondom grote ICT-projecten schiet de

ineens beweren dat het allemaal veilig is, dat de risico’s onder controle zijn. Dat is een uitnodiging

overheid tekort in een van deze opgaven, of in beide. We bespreken ze kort.

om in je hemd gezet te worden door wildvreemden die de krochten van je eigen technologie beter blijken te kennen dan jouw eigen mensen en je leveranciers.

Het correct inschatten, en vervolgens communiceren, van risico’s van informatie- en communicatietechnologie is een notoir moeilijke opgave. Vaak weet de publieke instantie niet echt welke risico’s ze

Falen is inherent aan de complexiteit van systemen. Het verbluffende van werk.nl is niet dat het

neemt, ook al zijn er pakken papier vol risico-analyses gefabriceerd en hebben de leveranciers allerlei

faalde, het verbluffende is dat het grotendeels lijkt te functioneren. Zodra je falen vooraf accepteert,

geruststellend bedoelde bezweringsformules afgescheiden. Denk aan: ‘Deze kwetsbaarheid is volko-

kun je het beter organiseren. Niet voor niets praten softwareontwikkelaars over “failing graceful-

men theoretisch.’ Of: ‘Een dergelijk scenario is technisch onmogelijk.’

ly” – de vraag is niet of software faalt, maar hoe. Als je, door bezuinigingen voortgejaagd, een

106

107

grootschalig primair proces in korte tijd naar een nieuwe online dienst moet overhevelen dan moet je meteen weten dat er grootschalig falen gaat optreden. UWV had dat falen eleganter kunnen organiseren door vooraf, in plaats van na maandenlange klachten, de extra mensen aan te nemen die burgers kunnen helpen waar het systeem faalt. Hetzelfde zien we in andere gevallen. De Eerste Kamer had meer respect voor de complexiteit van het Elektronisch Patiëntendossier (EPD) dan het ministerie en de instanties die het ontwikkelden. Die weigerden oplossingen te creëren voor dat wat onvermijdelijk is, namelijk onbevoegd gebruik. Zo wilde men pas heel laat in het traject schoorvoetend overwegen of patiënten misschien een sms konden ontvangen wanneer hun dossier werd ingezien. Er zou immers geen onbevoegde toegang zijn, was de aanname. Die houding was niet alleen naïef, maar grensde aan nalatigheid. De Eerste Kamer trok de juiste conclusie: deze instanties kun je het EPD niet toevertrouwen. Helaas maakte het sneuvelen van het EPD ook de weg vrij voor een private oplossing, waarvan het vooralsnog onduidelijk is welke waarborgen en accountability daarbij zijn inbegrepen. Deze ontwikkeling onderstreept een ander punt: er is eigenlijk geen exit-optie meer. De krachten die onze samenleving deze kant op trekken zijn sterker dan formele besluitvormingsprocedures en

“Als je als overheidsbestuurder je informatieveiligheid niet voldoende op orde hebt, dan zal dat je belemmeren in de dienstverlening.” Henk Wesseling, Bestuurlijk hoofd Taskforce Bestuur en Informatieveiligheid Dienstverlening

collectieve wilsvorming. De problemen met werk.nl waren normaal, vond de minister. Er werd namelijk ‘verbouwd terwijl de winkel open is’, schreef hij aan de Kamer. Hij zegt dus eigenlijk: ‘shit happens’. Daar is geen speld tussen te krijgen, maar het is ook ongelooflijk gratuit. Elders noemde ik dat: fatalisme op andermans rekening.4 Hier komt de tweede opgave voor de overheid om de hoek kijken: een rechtvaardige verdeling van risico’s. Wie draait er op voor de gevolgen? Ook een beetje falen betekent op deze schaal meteen dat duizenden mensen in nare situaties terecht komen. Hier zien we een afwentelingsprobleem: de risicobeheerder is niet de risicodrager. De gevolgen van falen komen bij anderen terecht komen dan de beheerders van het systeem. Dat gebeurt ook in de markt. Daar noemen we het een externaliteit, een klassieke vorm van marktfalen. Het geeft partijen de verkeerde prikkels: omdat ze niet zelf de schade dragen, zijn ze te optimistisch of te laks om dat falen te voorkomen of adequaat af te hande-

Er zijn verschillende antwoorden voorhanden om afwenteling te bestrijden, maar in de kern doen ze hetzelfde: ze proberen de schade terug te duwen naar de instantie die het risico genomen heeft. De instrumenten lopen uiteen. Denk aan wettelijke aansprakelijkheid, consumentenbescherming, normering, naming and shaming, meldplicht, administratieve boetes, of zelfs strafrechtelijke vervolging.

108

Foto: Semmick Photo / Shutterstock.com

len. Dat mechanisme geldt evenzeer voor overheden als voor bedrijven.

Soms gaat het zonder formeel mechanisme. Bij uitkeringsfraude met DigID, waarbij criminelen het

Krachtige nieuwe intermediairen

account overnemen van een burger en dan het rekeningnummer veranderen waardoor de uitkering

Ooit was het verhaal dat internet alles ging dis-intermediëren – dat wil zeggen: de tussenpersonen

op gestort wordt naar een katvanger, wordt de schade doorgaans vergoed. Ik zeg doorgaans, omdat

ging wegvagen. Inmiddels weten we dat het een illusie is. We hebben oude intermediairen ingeruild

we alleen die gevallen kennen waar mensen met honderden tegelijk slachtoffer worden. Daar kun-

voor nieuwe. De grote internetbedrijven – Google, Apple, Microsoft, Facebook – blijken enorme

nen bureaucratische organisaties als de Sociale Verzekeringsbank of de Belastingdienst wel mee uit

machtsconcentraties op te bouwen. Dat komt mede doordat de markten voor informatiediensten

de voeten. Juist door de herhaling kunnen de incidenten correct herkend en geroutiniseerd worden.

hele sterke neiging hebben tot “winner takes all”: dominantie door een of enkele spelers die zulke

Maar wat als een individueel geval bij het loket staat en beweert dat hij dat rekeningnummer niet

grote schaalvoordelen opbouwen dat er geen concurrentie meer mogelijk is. Ook wordt concurren-

gewijzigd heeft? En dat hij zijn DigID niet heeft afgegeven aan zijn gezinsleden? Ik vermoed dat je

tie ondermijnt door ‘lock-in’ en informatie-asymmetrie. Deze mechanismen zijn inherent aan infor-

dan verbaal en procedureel tamelijk vaardig moet zijn om voorbij de eerste afwijzing aan het loket

matiediensten: het kost een enorme investering om een nieuw operating system of sociaal netwerk

te komen. Niet iedereen is dat – en dat geldt wellicht in sterkere mate voor de mensen in deze groep.

te bouwen, maar de kosten voor elke volgende kopie of gebruiker zijn nagenoeg nul (hoge vaste

Hun schade kan onzichtbaar blijven, ook voor de instanties zelf. Daar kun je alleen iets aan doen het

kosten, verwaarloosbare marginale kosten). Dat zie je ook in clouddiensten. De prijs daarvan is

formeel te regelen en de bewijslast om te draaien, bijvoorbeeld.

vele malen lager dan het zelf beheren van hardware en software. Dat heeft een enorme aanzuigende werking. Steeds meer van onze ICT – en dus onze veiligheid – komt in handen van een beperkte

Na deze korte reflectie op de positie van overheden tegenover de risico’s van ICT, doet zich de

groep machtige intermediairen.

vraag voor: wat komt er aan nieuwe technologie op hen af? Die vraag verdient meer aandacht dan we hem hier kunnen geven.5 Het is belangrijk het antwoord niet in puur technische veranderingen

Overheden liften mee op hyper-transparantie

te zoeken. Dat biedt weinig inzicht. Meer houvast is te vinden in het benoemen van de economische

Doordat data als noodzakelijk en gratis bijproduct van ICT-transacties wordt gegenereerd en de

krachten die de evolutie van deze technologie sturen. Drie wil ik er hier noemen.

kosten van opslag naar nul dalen, zien we een enorme data-obesitas in de private sector. Google weet inmiddels meer van elk van ons dan de staat. Een Oostenrijkse student vroeg ooit zijn dossier

Toenemende waarde van persoonlijke data

op bij Facebook. Hij kreeg enkele CD-roms toegestuurd met 1200 A4’tjes aan data. Een geheime

Naarmate ICT in alle primaire processen van de maatschappij doordringt, wordt er ook meer data

dienst zou dit vroeger slechts voor een selectie groep burgers hebben kunnen verzamelen, vanwege

geproduceerd. Dat is geen keuze, maar een gegeven. Data is een onvermijdelijk en essentieel pro-

de enorme kosten die ermee gepaard gaan. Facebook verzamelt het standaard voor elke gebruiker.

duct van elke transactie. Het kost geen moeite om data te produceren, het kost juist moeite om het desgewenst weer ongedaan te maken. Niet voor niets praat de Europese Commissie over het recht

De overheid heeft een Januskop ten aanzien van de private data-obesitas. Aan de ene kant werpt ze

om vergeten te worden. Gegeven dat de data er hoe dan ook is, ontstaan er steeds daarna nieuwe

zich op als de beschermer van burgers tegenover de private bedrijven. Aan de andere kant ontdek-

manieren om die te gelde te maken. Je kunt die mooi zien bij Google. Ze lanceren aan de lopende

ken overheden steeds meer dat de verschuiving van macht naar de intermediairen ook mogelijkhe-

band nieuwe diensten, zonder verdienmodel dat vooraf is bedacht. Bij veel van die diensten komt

den biedt. Zie NSA. Veel van wat de NSA doet is zich toegang verschaffen tot informatie die private

er geen expliciet verdienmodel, maar wordt het onderdeel van het conglomeraat aan diensten waar-

partijen al hadden. Op kleinere schaal zie je dit ook in Nederland. De informatie is er al. Leg dan

mee Google ons beter en beter leert kennen. Wij zijn niet de klanten van Google. We betalen geen

maar eens uit dat de overheid die niet mag inzien om een of andere misstand aan te pakken. Het is

cent. Probeer maar eens de klantenservice te bellen. Wij zijn deel van het product dat Google ver-

in zekere zin het witwassen van data. De overheid kan langs deze weg informatie verkrijgen die ze

koopt aan haar werkelijke klanten, zoals adverteerders. Een ander voorbeeld is PayPal, onderdeel

zelf nooit zou mogen verzamelen.

van eBay, net als Marktplaats. Als je op Marktplaats een product koopt, kun je meestal via PayPal betalen, waarna je aankoop verzekerd is tegen oplichting of niet-levering. Dat kan PayPal doen,

Incentives en technologie van marktspelers zijn leidend

omdat ze via Markplaats gedetailleerde profielen kent van verkopers. Met die data kan ze tegen lage

De huidige dominante spelers zullen ongetwijfeld weer door andere vervangen worden. Maar de

risico’s de facto een verzekering aanbieden. Dat onderscheid de betaaldienst van haar concurren-

kans dat die nieuwe spelers beter passen in de oude statelijke en supra-statelijke governance arran-

ten en zo is de data die wij, al kopend en verkopend op Marktplaats, genereren, te gelde gemaakt.

gementen is nihil. Wat betekent dit voor veiligheid? De opkomst van intermediairen is niet per se

Overal waar data is, zullen partijen zijn die proberen hier waarde aan te onttrekken, niet in de laatste

beter of slechter voor veiligheid, het is vooral anders. Het ondermijnt enerzijds de soevereiniteit

plaats degene die de informatie bijeenbrengt en beheert. Zie EPD. Het sneuvelen van het overheids-

van staten en lokt anderzijds juist uit dat staten zich extra-territoriale bevoegheden toe-eigenen, of

initiatief betekende slechts dat de marktpartijen nu zelf die voordelen gaan najagen nemen.

dat nu de Patriot Act is of het Nederlandse wetsvoorstel om politie te laten inbreken op systemen

110

111

Foto: Allard One / Shutterstock.com

in het buitenland. We hebben nog geen governance-arrangementen voor de omgang hiermee, zoals

dat hebben de onthullingen voelbaar gemaakt. Deze informatie-asymmetrie tussen aanbieders en

de nasleep van de NSA-onthullingen pijnlijk duidelijk maken. Overheden laten zich afschepen met

afnemers is altijd een probleem. Veel overheden weten eigenlijk niet wat ze inkopen en kunnen de

bezweringsformules die hol klinken, zoals de belofte van cloudaanbieders dat ze alles conform

claims van hun leveranciers over veiligheid niet wezenlijk op waarheid toetsen. Maar dit vraagstuk

Nederlands recht zullen afhandelen. Ik vermoed dat weinigen aan de kant van de overheid naïef

wordt in het feodale model aanzienlijk urgenter.

genoeg zijn om hierop te vertrouwen. Het feit dat deze antwoorden getolereerd worden geeft vooral aan dat er geen beter arrangement voorhanden is.

Welke handelingsrichtingen hebben overheden in het licht van dit alles? Ze zijn terloops al benoemd in het voorafgaande. We zetten ze kort op een rij:

De optelsom van deze ontwikkelingen is moeilijk te overzien. Maar een manier om deze te benoemen is te zeggen dat we overgaan naar feodale veiligheid, om de term van Bruce Schneier te gebruiken. We gaan weg van het model waarin we zelf onze apparaten beheren. Niet voor niets

• Beteugel de neiging tot risicominimalisatie. Minder is niet altijd beter. Voorkomen is soms erger dan genezen.

hebben we in de de opmars gezien van tablets en smartphones met afgegrendelde software – in de

• Vertrouw niet blind op formele beheersmechanismen. Standaarden à la ISO kunnen nuttig zijn

consumentenmarkt en steeds meer ook in de zakelijke markt. Die apparaten vergen veel minder

om je huishouding op orde te krijgen, maar hebben weinig met daadwerkelijke veiligheid te

know-how en beheer om goed te functioneren. En als er al iets misgaat, kunnen je gegevens zo uit

maken en zuigen ondertussen wel veel aandacht en middelen op in de organisatie.

de cloud worden teruggezet. De tradeoff is dat Apple nu bepaalt wat je wel en niet mag doen op

• Accepteer falen vooraf, wees daar eerlijk over en organiseer het falen zo elegant mogelijk. Het

je apparaat. Talloze apps worden geweerd uit de App Store. Buiten de App Store om installeren is

woord ‘onvoorzien’ moet op de zwarte lijst, net als de uitdrukkingen ‘het is veilig’ en ‘honderd

helemaal uit den boze.

procent veiligheid bestaat niet’. • Ondervang afwentelingsmechanismes voor falen, ook door je leveranciers. Te vaak zijn de

Dit staat haaks op de voorafgaande periode. Het internet heeft juist zo’n innovatie kunnen veroorzaken doordat er aan het netwerk ‘general purpose computing’ apparaten hingen – lees: de verma-

risiconemers niet de risicodragers. Zie ook de vele datalekken bij publieke instanties à la het Groene Hart ziekenhuis.

ledijde PC. De vernieuwing was mogelijk omdat er geen poortwachters waren. Als je een obscuur

• Ontwikkel een strategie voor overheidsdiensten in het feodale tijdperk. Ook de ICT van de

programma wilde installeren omdat je vrienden dat ook dezen, zeg iets uit Estland genaamd Skype,

overheid zal zich steeds meer buiten haar eigen beheer en eigendomsrechten afspelen. Welke

dan hoefde je daarvoor bij niemand toestemming te vragen. Niet bij je internetprovider, niet bij

gevolgen heeft dit? Zijn er diensten waarvoor dat onacceptabel is?

Microsoft, niet bij je leverancier van de computer. En zo kon Skype binnen een paar jaar de telecommarkt op zijn kop zetten.

• Erken informatie-asymmetrie. Besef dat je ten diepste niet weet wat je geleverd krijgt. Zoek naar manieren om die asymmetrie te reduceren, bijvoorbeeld door derden te belonen voor het blootleggen van gaten (responsible disclosure) en meldplichten die openbare informatie

Natuurlijk: dezelfde vrijheid om welk programma dan ook te installeren, is tevens een groot vei-

genereren voor onderzoek.

ligheidsrisico gebleken. Zo kom je aan virussen en andere ellende. Of je raakt gegevens kwijt bij

• Onderken dat je zelf als publieke instantie ook een krachtige intermediair bent en bescherm

het crashen van software. Veel consumenten willen die problemen niet meer en dragen graag een

de burgers tegen je eigen falen, in plaats van hen verantwoordelijk te maken voor informa-

deel van hun soevereiniteit over aan de platformeigenaar (Apple, Google, Microsoft, Facebook) in

tiebeveiliging.

ruil voor meer veiligheid en zekerheid. Dat is voor overheden niet veel anders. De complexiteit van ICT is groot en complexiteit betekent hoge beheerskosten. Deze en andere drivers maken dat we als samenleving steeds meer richting het feodale model gaan – vandaag heet dat de cloud, morgen ubiquitous computing, daarna weer anders. Alleen tegen hoge kosten kunnen we specifieke data en informatiediensten buiten dit model houden. Dat zal dus alleen op selecte gebieden gebeuren, waar we dat geld er voor over hebben. In het feodale model zijn we afhankelijk van de keuzes die de dominante intermediairen maken. Of gedwongen worden te maken. Kijk maar naar de knarsentandende reacties van de internetgiganten op de onthullingen van Snowden. Over veel van die keuzes weten we eigenlijk nauwelijks iets. Ook

114

1 Onder veiligheid verstaan we hier de conventionele triade van beschikbaarheid, integriteit en vertrouwelijkheid van informatie. 2 Voor een diepgravende beschouwing hierover, zie de klassieker Searching for Safety van Aaron Wildavsky (Transaction Publishers, 1988). 3 Zie C.C. Demchak, Military organizations, complex machines: Modernization in the U.S. armed services. (Ithaca, N.Y.: Cornell University Press, 1991), p. 3. 4 Van Eeten (2010). Techniek van de onmacht. Fatalisme in politiek en bestuur. Den Haag: NSOB. 5 Twee collega’s en ik hebben enkele dominante trends op een rij gezet voor de Raad voor Maatschappelijke Ontwikkeling. Omdat het nog niet door de RMO is gepubliceerd, voeg ik het hier toe als bijlage.

115

8.

Uitdagingen en toekomstbestendig ingrijpen

“De overheid moet

corien prins

het toppunt van betrouwbaarheid zijn.”

Hoogleraar Recht en Informatisering en decaan Universiteit van Tilburg

Hans Schild, Gemeentesecretaris Goes

Inleiding Bij de voorbereidingen voor dit essay nam ik een willekeurige greep uit mijn doos ‘Krantenknipsels 2011’ over hacken, lekken van digitale informatie en andere al dan niet succesvolle pogingen om de informatiesamenleving te ontwrichten. Juni 2011 melden de ochtendbladen dat het kinderlijk eenvoudig is via de website van de Dienst Uitvoering Onderwijs (DUO) - voorheen de IB-groep – privégegevens van studenten te stelen. Ook blijkt het mogelijk - gebruik makend van het feit dat oud-studenten een studieschuld moeten aflossen – hen geld afhandig te maken via het betalingssysteem iDeal. Zoals eerder bij de ov-chipkaart, is ook hier een beveiligingslek de boosdoener. Het voorbeeld illustreert niet alleen de kwetsbare kanten van digitalisering, in dit geval het lekken van grote hoeveelheden persoonsgegevens. Evenzeer laat het zien hoe digitale diensten van de overheid (in dit geval die van DUO) zijn verweven met die van de private sector (het online betalingssysteem iDeal). Het tweede krantenknipsel, nrc.next van 19 september 2011, maakt melding van omvangrijke fraude via authenticatie met DigiD. Onterecht bijgestelde toeslagen kunnen worden aangevraagd door ondertekening met de DigiD van anderen. Door opgegeven inkomsten naar beneden bij te stellen en bankrekeningnummers te veranderen, zijn toeslagen te innen op een rekeningnummer dat niet van diegene is die recht heeft op de toeslag. In de afweging tussen snelle dienstverlening enerzijds en omslachtige beveiligingsprocedures anderzijds zijn compromissen gesloten. In de

117

woorden van de Belastingdienst, in de krant aan het woord: “Een kwestie van snelle dienstverle-

verzameld, opgeslagen of gebruikt, andere informatiebronnen zijn juist transparanter in plaats van

ning en van vertrouwen”. Om toeslagen bij zoveel mogelijk rechthebbenden terecht te laten ko-

vertrouwelijk en geheim en sommige informatie is veel beter beveiligd. En daar waar actoren bui-

men, besloot de Belastingdienst de aanvraagprocedure te vereenvoudigen. Maar door toe te staan

ten de publieke sector de verantwoordelijkheid voor het stellen van grenzen en daarmee het belang

dat bij de aanvraag willekeurige DigiD-authenticatie viel te gebruiken, konden ook hulpverleners,

van informatiebeveiliging onvoldoende oppakken, is het de overheid die vanuit haar systeemver-

vrienden of familie toeslagen aanvragen voor ‘hulpbehoevenden’. Misbruik op grote schaal was

antwoordelijkheid de grenzen soms alsnog zal moeten stellen. Dan moet het ook de overheid zijn

het gevolg: 2010 kende 200 fraudegevallen en in 2011 waren dat er nog eens 2500.1

die bereid is het overschrijden van deze grenzen te ontdekken en te sanctioneren met flinke boetes. Maar dan is het ook een overheid die zich inzet voor het ontwikkelen van objectieve maatstaven

De voorbeelden zijn illustratief voor de uitdagingen waar de overheid op het terrein van informa-

voor een zorgplicht op het terrein van informatiebeveiliging, om vervolgens actoren die gehoor

tiebeveiliging momenteel voor staat: a. de verwevenheid van de informatiehuishouding in ketens

geven aan deze zorgplicht de hand toe te steken wanneer ze alsnog het slachtoffer worden van de

en uitvoeringsprocessen, waarmee verantwoordelijkheid nemen voor het beveiligingsniveau van

risico’s die digitalisering onheroepelijk met zich meebrengt.

deze huishouding een diffuse aangelegenheid wordt. Verweesde verantwoordelijkheid ligt daarmee op de loer. b. de afweging die telkens weer dient te worden gemaakt tussen diverse – veelal

Wat exact zijn de motieven die noodzaken tot zowel begrenzen als inzetten op systeemverant-

ongelijksoortige – belangen. Zoals het wegen van beveiligingsbelangen en de wens tot een ef-

woordelijkheid? Nadat ik in paragraaf 2 allereerst kort de kwetsbare kanten van de toenemende

ficiëntie dienstverlening. Comprissen sluiten is noodzakelijk, maar telkens weer staan bepaalde

verwevenheid voor informatiebeveiliging en daarmee het risico van een verweesde verantwoor-

belangen prominenter op het netvlies dan andere. En het belang van een adequate beveilging blijkt

delijkheid heb neergezet, zal paragraaf 3 het belang van begrenzing nader duiden en aanknopings-

dan nogal eens het onderspit te delven.

punten presenteren voor de weging van belangen met het oog op begrenzen in het belang van informatiebeveiliging. Paragraaf 4 betoogt vervolgens dat de overheid vanuit een systeemverant-

De constatering dat digitalisering een totaal andere - namelijk vernetwerkte - informatieomge-

woordelijkheid initiatieven op het terrein van informatiebeveiliging ontplooit als andere actoren

ving heeft gecreëerd, geeft daarom alle aanleiding om de complexe uitdaging van een adequate

hun verantwoordelijkheid hiervoor niet of onvoldoende zelf oppakken. Paragraaf 5 sluit af met het

informatiebeveiliging te doordenken en op zoek te gaan naar aanknopingspunten voor de wijze

agenderen van enkele concrete punten voor debat en verder beleid.

waarop actoren binnen de overheid zich hebben te verhouden tot de diversiteit aan belangen die in dit kader spelen. Hoe paradoxaal het ook moge klinken, deze aanknopingspunten moeten wat

Kwetsbare verwevenheden

mij betreft gezocht worden in beredeneerde begrenzingen van digitalisering. Niet in de laatste

Het voorbeeld van fraude bij DUO laat zien dat in de informatiesamenleving schotten steeds diffu-

plaats om actoren houvast te geven in het bepalen van wat een juiste omgang is met het stellen van

ser worden. Op een organisatieniveau is sprake van een toenemende digitale verwevenheid tussen

beveiligingsvoorwaarden aan partijen met wie ze in een vernetwerkte overheid samenwerken. Die

allerhande partijen en sectoren, waarmee op een informatieniveau de grens tussen de publieke

omgang is nu vaak onvoldoende geëxpliciteerd en vervolgens uitgewerkt. Vermenging van infor-

sector en de private sector nauwelijks meer te ontwaren valt. Het is deze verwevenheid die de

matiestromen, onder meer tussen publiek en privaat, is ongemerkt heel gewoon geworden. Maar

informatiehuishouding van de overheid inmiddels tot een uiterst complex samenstel van actoren

bij nadere beschouwing (en zoals ik in paragraaf 2 nader zal bespreken), blijkt deze vermenging

met ieder hun rechten en plichten heeft gemaakt. En die situatie heeft overduidelijk consequenties

ook z’n problematische kanten te kennen als het aankomt op keuzes en verantwoordelijkheden

voor het belang van informatiebeveiliging.2 Want juist in een dergelijk complex samenstel van ver-

voor adequate informatiebeveiliging. Vanuit deze constatering beoogt dit essay een aanzet te ge-

antwoordelijkheden blijkt het uitgangspunt van adequate beveiliging zoals neergelegd in artikel

ven voor de wijze waarop de overheid zich zou moeten verhouden tot het belang en de inrichting

13 van de Wet bescherming persoonsgegevens (Wbp)3 nogal eens een papieren tijger. Belangrijker

van informatiebeveiliging. Centrale noemer is daarbij een tweeledige opdracht voor de overheid:

nog, het risico van ‘verweesde verantwoordelijkheid’ voor het belang en de concrete invulling

begrenzing voor wat betreft haar eigen informatiehuishouding en systeemverantwoordelijkheid

van informatiebeveiliging ligt overduidelijk op de loer. In technische zin en daarmee in ‘tech-

voor de informatiehuishouding van anderen.

nologische’ kwetsbaarheid raken verschillende delen van de overheid meer en meer verweven. In juridische en organisatorische zin is echter nog immer sprake van verkaveling (wetgeving per

Een toekomstbestendige omgang met informatiebeveiliging vraagt namelijk om een hernieuwde

beleidsdomein, verantwoordelijkheden per uitvoeringsinstantie, rijk-provincie-gemeente, etc.).

balans tussen informatievrijheid, geheimhouding en beveiliging van gegevens, en een revitali-

Van een dossier- en institutioneeloverstijgende aanpak en het ontwikkelen van een breder kader

sering van de beginselen van doelspecificatie en doelbinding in een tijdperk van grootschalige

is geen sprake.

informatievergaring, -opslag en -hergebruik. Sommige informatie wordt dan helemaal niet meer

118

119

Een eerste kenmerk van de huidige omgang met informatie die hier debet aan is, is de onterechte

de veiligheid en beveiliging van gegevens omdat er bijvoorbeeld lang niet altijd helderheid bestaat

veronderstelling bij veel organisaties dat de eigen informatiehuishouding verschilt van een open

of de noodzakelijke afspraken zijn gemaakt over: security audits, gewenste niveau van beschikbaar-

systeem als het internet. Veel instanties – zowel binnen de overheid als in de private sector – gaan

heid van de applicaties en digitale diensten alsmede het onderhoud daarvan, procedures voor inter-

nog immer van de veronderstelling uit dat de eigen informatiehuishouding zich daarvan onder-

ne melding van datalekken en andere incident-response procedures, backup en hersteldiensten, etc.

scheidt in de zin dat het om een semi-gesloten systeem van de eigen organisatie gaat en niet een

Een tweede kenmerk, dat tekenend wordt geïllustreerd met het genoemde voorbeeld van DUO, is

veel meer open systeem als het internet, waar men nauwelijks meer zicht heeft op de aangesloten

dat informatieketens en andere (semi-)gesloten systemen ongewild deel worden van het internet. Il-

partijen. Anders gezegd, men handelt vanuit de assumptie zelf nog het heft in handen te hebben en

lustratief zijn de Snowdon- en eerder de WikiLeaks-affaire. Beide kunnen als een voorbode gelden

voor 100% te kunnen sturen op de veiligheid en beveiliging van informatiestromen binnen de eigen

van wat in de toekomst ongetwijfeld vaker zal gaan gebeuren: de interne informatiehuishouding

organisatie dan wel de keten van partijen met wie men samenwerkt. De in de introductie tot dit

van overheden komt ineens op de digitale straten van het internet te liggen. Oncontroleerbaar door

essay genoemde voorbeelden laten echter goed zien dat die ‘maakbaarheid’ en ‘stuurbaarheid’ van

het vele kopiëren en de snelle migratie van de informatie van server naar server, van apparaat naar

informatieprocessen onder druk zijn komen te staan. Zowel het vernetwerken van informatie als het

cloud naar apparaat. Voorrdat een dergelijk ‘lek’ van overheidsinformatie naar het internet realiteit

laten vervloeien van informatiestromen over de grenzen van het publiek-private heen, maken dat de

wordt, wordt het risico veelal beschouwd als een kwestie van beveiliging van data en van techniek

semi-gesloten informatiehuishouding van individuele instanties intern steeds meer op het internet

en beleid om dat te bewerkstelligen. Zodra een lek resulteert in het verspreiden van gevoelige infor-

gaat lijken. Illustratief waren al eerder de informatieketens op het terrein van de sociale zekerheid,

matie op het internet is er echter geen beleid meer voorhanden, gaan instanties improviseren om –

zorg of de jeugdhulpverlening waar een nauwelijks nog te overzien aantal instanties op is ‘aange-

vergeefs – de controle terug te winnen, wat uiteindelijk veelal een weinig verheffende aanblik biedt.

haakt’. Meer recent is de vanzelfsprekendheid waarmee overheden, bedrijven maar ook burgers hun

Toch zijn dergelijke lekken juist door digitalisering nagenoeg onvermijdelijk (in feite inherent aan

gegevens via clouddiensten opslaan, delen en bewaren een illustratief voorbeeld. Vele complexe

de technologie) en laat ook het voorbeeld van DUO zien hoe kinderlijk eenvoudig het blijkt te zijn

vragen die raken aan informatiebeveiliging moeten hier nog worden beantwoord.4 Vrijwel geen

om de interne informatiehuishouding van individuele organisaties ineens op de digitale straten van

enkele betrokkene en daarmee ook verantwoordelijke voor informatiebeveiliging weet ‘waar’ de

het internet te dumpen.

gegevens zich bevinden (welk land, welke jurisdictie en daarmee welke wettelijke beveiligingsvereisten), welke auditprocedures en andere checks het naleven van het geclaimde beveiligingsniveau

Een derde punt zien we in de (wellicht ogenschijnlijk) tegenstrijdige belangen die de overheid be-

moeten garanderen en wie verantwoordelijkheid neemt voor als het onverhoopt toch mis gaat.

oogt te beschermen. De overheid heeft een taak burgers te beschermen tegen digitale kwetsbaarhe-

Informatie is kortom meer en meer een zaak van velen, in plaats van toebehorend aan één organi-

den, waaronder cyberaanvallen, wat ook een verantwoordelijkheid impliceert om cybercriminelen

satie. En daarmee is het belang van de veiligheid van die informatie ook niet langer zaak van één

op te sporen en te vervolgen. Daartoe moet de overheid de informatiebeveiliging van verdachten

organisatie. Doorredenerend betekent dit ook dat het definiëren van de standaarden voor informa-

van cyberaanvallen kunnen doorbreken, wat leidt tot wetsvoorstellen om te kunnen inbreken op

tiebeveiliging en het nemen van verantwoordelijkheid voor het naleven daarvan op grenzen stuit:

computers van verdachten of verdachten te dwingen hun wachtwoorden af te geven. In de pu-

naarmate organisaties in digitaal verband verknoopt raken wordt het immers problematischer voor

blieke discussie over dergelijke voorstellen valt op dat burgerrechtenorganisaties en computerbe-

de keten dan wel de (cloud)dienst als geheel om informatiebeveiliging te kanaliseren, te verifiëren

veiligingsexperts vrezen dat de overheid, al dan niet bewust, belang heeft bij een niet al te hoog

en voor de betrouwbaarheid in te staan. Zo hanteert de Wbp in artikel 1, onder d, het begrip ver-

beveiligingsniveau van computergebruikers. Sommigen vrezen bijvoorbeeld dat de overheid een

antwoordelijke als instrument voor de toedeling van bevoegdheden en verantwoordelijkheden die

pas ontdekt beveiligingslek eerst zelf zou willen exploiteren om binnen te dringen in de computer

uit de wet voortvloeien. Daartoe behoren ook de beveiligingsplichten. De wet gaat daarbij uit van

van een verdachte, alvorens het lek publiekelijk bekend te maken. Daargelaten of een dergelijke

een concreet aan te duiden en aan te spreken organisatie, namelijk degene die doel en middelen van

vrees terecht is, geeft het een spanningsveld aan waar de overheid vanuit de handhavingstaak mee

de verwerking bepaalt. Het is deze organisatie die verantwoordelijkheid draagt voor het naleven

te maken heeft: naarmate het beleid om burgers beter te beschermen tegen digitale kwetsbaarheden

van de beveiligingsplicht zoals neergelegd in art. 13 Wbp. De vraag is echter of bij breed samen-

beter werkt, wordt potentieel ook het werk van opsporingsdiensten om sturings- en bewijsmateriaal

gestelde informatieketens en diffuse applicaties als clouddiensten , de concrete verantwoordelijken

te verzamelen moeilijker.

5

wel altijd helder te duiden zijn. Wie naar informatieketens kijkt, ziet dat de verantwoordelijkheid

122

voor de technische uitvoering op de ene plaats wordt belegd, terwijl als het aankomt op zaken als

Wat achter dit spanningsveld schuilgaat, is een gerelateerd spanningsveld dat wordt veroorzaakt

informatiebeheer, informatiegebruik en daarbij behorende bevoegdheden, vele andere instanties

door de nadruk die in een risicomaatschappij ligt op preventief ingrijpen: wil men zoveel mogelijk

wat betreft verantwoordelijkheid in beeld zijn. Deze opdeling heeft vervolgens repercurssies voor

misdaad of ander onwenselijk gedrag voorkomen, dan vraagt de logica van de databanksamen-

123

leving om zoveel mogelijk gegevens te verzamelen waarmee risicoprofielen kunnen worden ge-

bruik en vernetwerking in beeld komen met het oog op het belang van informatiebeveiliging.

maakt. Vanuit die rationaliteit wil men gegevens over grote groepen kunnen vergaren, wat een stu-

Uiteraard zijn de afwegingen voor de overheid intern enerzijds en de afwegingen voor de vrije

wend beginsel oplevert dat gegevens van burgers (en consumenten, werknemers, enzovoorts) niet

markt en samenleving in brede zin anderzijds niet hetzelfde. Het gaat eerder om ‘informatieorde-

te makkelijk afgeschermd zouden moeten worden. De grootschalige gegevensverzameling creëert

ning’ in de zin van marktordening; net als de markt is informatisering een autonome kracht en de

echter kwetsbaarheden, niet alleen door de databanken van beleidsuitvoerders zelf, maar ook omdat

informatiesamenleving een vrije sfeer die toch, en om goede redeneren, begrensd en bijgestuurd

de gegevens daardoor voor derden (door lekken of hacken) eenvoudiger toegankelijk zijn. Zo bijt

wordt door overheden.

de sleepnetaanpak van preventief beleid vaak met het beleidsdoel dat deze aanpak juist beoogt, namelijk om diezelfde burgers (consumenten, enzovoorts) te beschermen tegen het onwenselijke

In de eerste plaats moet bij nieuwe ontwikkelingen goed nagedacht worden of verschillende

gedrag van de (vaak kleine) groep fraudeurs of misbruikers.

belangen en beginselen voldoende met elkaar in evenwicht zijn. De WRR introduceerde voor het zoeken naar dit evenwicht drie clusters van beginselen - stuwende, verankerende en procesmati-

Evenals bij de vernetwerkte informatieverbanden zien we ook hier dat de overheid in de nodige

ge beginselen. Deze drie zullen niet alleen met elkaar in evenwicht gebracht dienen te worden als

beleidsdomeinen niet altijd expliciet en eenduidig inzet op een adequaat niveau van informatiebe-

het gaat om overheidsinformatisering (de centrale thematiek van het WRR-rapport), maar meer

veiliging in de maatschappij, omdat de innerlijk tegenstrijdige logica van het beleidsdoel verschil-

specifiek ook ten aanzien van informatiebeveiliging. Daarbij zal de overheid niet alleen zichzelf,

lende kanten op wijst. Ook daardoor dreigt de verantwoordelijkheid voor informatiebeveiliging

maar soms andere partijen de maat moeten nemen om burgers en bedrijven te beschermen tegen

verweesd te raken.

kwetsbaarheden ten gevolge van een onvoldoende aandacht voor beveiliging. Zo zijn efficiëntie van dienstverlening of bestrijding van fraude met publieke middelen stuwende krachten voor

Beveiliging en begrenzing: redeneren vanuit wegen van belangen

overheidsinstellingen. Daar is ook in een informatiesamenleving in het geheel niets mis mee,

De centrale stelling van dit essay is dat serieus werk maken van informatiebeveiliging impliceert

vooropgezet dat ook verankerende beginselen als privacy, non-discriminatie en informatieveilig-

dat overheidinstanties en politiek bereid en in staat zijn grenzen te stellen aan het groeiende gebruik

heid voldoende gewaarborgd zijn.

van informatie en aan de toenemende verwevenheid van informatiestromen. De noodzaak tot het stellen van dergelijke grenzen werd ook reeds in 2011 op de agenda gezet. In dat jaar bood de We-

Wie het scala aan beleidsdocumenten over technologiegestuurde beleidsinitiatieven leest, ont-

tenschappelijke Raad voor het Regeringsbeleid (WRR) het rapport iOverheid aan de regering aan.6

komt niet aan de vele woorden die zijn gewijd aan de beoogde en te verwachten voordelen die het

Het rapport handelde over de inzet van ICT-applicaties door de overheid en concludeerde dat met

betreffende initiatief de overheid en burgers in het vooruitzicht stelt. Efficiënte dienstverlening,

deze inzet een achterliggend complex geheel van informatiestromen is ontstaan waar politiek en

terugdringen van administratieve lasten, veiligheid, proactief (doelgroepen)beleid en dienstver-

bestuur zich ogenschijnlijk niet of nauwelijks van bewust lijken te zijn. Deze onbewuste iOverheid,

lening-op-maat, om maar enkele van deze voordelen te noemen. Veel minder woorden worden

die eerder in de praktijk is ontstaan dan dat deze door de overheid is ontworpen, heeft de natuurlijke

veelal gewijd aan de kosten van het betreffende initiatief, waaronder de risico’s verbonden aan

neiging om onbekommerd door te groeien. ‘Grenzen aan de groei’ komen pas in zicht als er zich een

digitale opslag en communicatie en de daarop gerichte criminaliteit en systeemaanvallen. Kort-

bewustzijn ontwikkelt van wat die iOverheid is en doet. Zo ook ontwikkelt de samenleving zich met

om, veelal blijft onvoldoende duidelijk wat de keerzijde van digitale innovatie is.

een grootschalige en welhaast allesomvattende inzet van ontelbare digitaliseringsinitiatieven tot een iSamenleving. In vergelijking met de iOverheid is deze iSamenleving nog veel grenzenlozer.

Als illustratie voor de wijze waarop de overheid de weging van de verschillende belangen vorm

De iSamenleving is een conglomeraat van ongelijksoortige actoren die met elkaar in vernetwerk-

kan geven, kan het opschonen van de overheidsinformatiehuishouding worden genomen. De

te verhoudingen staan en waartussen informatie rijkelijk vloeit en vermengt: burgers, overheden,

informatiesamenleving heeft een goed geheugen, soms tot onze schade en schande zelfs een te

NGO’s, media, bedrijven, social media, cybercriminelen etc.

goed geheugen. En met een groeiend geheugen en daarmee uitdijende berg aan opgeslagen informatie nemen ook de risico’s toe, zoals het risico op lekken van al die informatie of het vertrouwen

Centrale regie is onmogelijk in de geïnformatiseerde netwerksamenleving. Maar de idee dat over-

op verouderde informatie. Wat de kwetsbaarheid verhoogt, is dat formele, wettelijk vastgelegde

heden niets meer vermogen in een informatiesamenleving is eveneens een naïef beeld. In het

bewaartermijnen in de dagelijkse praktijk niet of nauwelijks in acht blijken te worden genomen.

rapport iOverheid benadrukte de WRR een aantal punten waarop de overheid scherp zou moeten

Nu opslagcapaciteit geen belemmering meer vormt, is een vaakgehoord argument als het op wel

letten om de eigen informatiseringambities op een goede manier vorm te geven. Een aantal van

of niet wissen van gegevens aankomt: ‘ze kunnen altijd nog wel eens van pas komen’. Ook staat

deze punten zijn van ook groot belang om te bepalen wanneer begrenzingen aan informatiege-

de techniek zelf soms het vergeten in de weg: bepaalde technische systemen, zoals relationele

124

125

databases, zijn zo ingericht dat absolute en volledige verwijdering van gegevens het systeem welhaast als een kaartenhuis in elkaar doet storten. Kortom, de aanpak van informatiekwetsbaarheid hangt samen met een duidelijk en stringent gehanteerd opschoonbeleid. En een dergelijk opschoonbeleid is veel meer dan zo af en toe stilstaan bij het weggooien van gegevens. Het noodzaakt tot een heldere en tijdige weging van belangen (belangen die enerzijds bewaren en anderzijds verwijderen benadrukken) en het agenderen van de uitkomst van deze weging bij het ontwerpen en bouwen van systemen. In feite is het een kwestie van ‘Security by Design’ – het in de techniek verdisconteren van normen voor de veiligheid van gegevens. Dat betekent dat in het eerste stadium van een beleidscyclus al wordt nagedacht over de weging van de verschillende belangen (stuwende en verankerende belangen) met het oog op de keuze voor een concrete bewaartermijn van de gegevens. Vervolgens zal de uitkomst van deze weging onderdeel moeten zijn van het ontwerp van de architectuur van het informatiesysteem en wel zodanig dat de gegevens bij ommekomst van de betreffende termijn automatisch worden gewist. Tot op heden is er in de praktijk nauwelijks aandacht voor de mogelijkheden van Security by Design, onder meer omdat de business case voor een dergelijke benadering en deze systemen ontbreekt. Zonder een politieke omarming van dergelijke oplossingen en de bereidheid om als overheid hierin als launching customer op te treden zullen dergelijke technologieën nooit de oplossingen worden die ze wellicht zouden kunnen zijn.

“Het gaat uiteindelijk altijd om het veiligheidsbewustzijn. Bewuste medewerkers zijn de sleutel tot succes.” Boy Janssen, Gemeentesecretaris Zutphen

Systeemverantwoordelijkheid Een belangrijke lijn waarlangs de discussie over de rol van de overheid voor informatieveiligheid zeker ook moet worden gevoerd, is die van systeemverantwoordelijkheid – een verantwoordelijkheid die vanwege het enorme publieke belang alleen bij de overheid kan liggen. Een nadrukkelijker bemoeienis van de overheid met het gehele ‘systeem’ van informatiebeveiliging - dus niet alleen die van de overheid zelf, maar ook de private sector - is om meerdere redenen aan de orde. Allereerst is dat het geval waar de overheid een rol als beschermer van de belangen van burgers en bedrijven moet spelen. Illustratief voor deze rol is de navolgende stellingname van het Ministerie van Veiligheid & Justitie over de toepassing van biometrie in de private sector: “De aspecten waar de overheid rekening mee houdt ten aanzien van biometrie in de publieke sector kan zij ook van toepassing verklaren op de private sector in haar rol als beschermer van de belangen van de burger en de maatschappij”.7 Het gaat dan bijvoorbeeld om de informatiegiganten die hun businessmodel op de persoonsgegevens van burgers bouwen, maar onvoldoende oog hebben voor het beveiligen van die gegevens. De overheid heeft dan de positie en verantwoordelijkheid om (technologische) onveiligheid aan te pakken. De overheid kan digitale systemen net zomin als marktpartijen voor de volle 100 procent beveiligen, maar heeft wél, en hierin verschilt ze van marktpartijen, de doorzettingsmacht om de afwenteling van onveiligheid te reguleren. De overheid kan, met andere woorden, voorschrijven welke schouders bepaalde risico’s moeten dragen. Binnen deze arrangementen kunnen de kosten en baten van onveiligheid worden afgewogen

127

en verantwoordelijkheden aan de betrokken actoren worden toebedeeld.8 Burgers zijn dan niet

gepakt moeten worden dan momenteel mogelijk is. Een optie is om het verontachtzamen van

langer uitsluitend op zichzelf aangewezen om eventuele problemen die voortkomen uit de onvei-

de beveiligingsplicht met een forse boete te sanctioneren, waarbij deze boetes aan een fonds ten

ligheid van digitale systemen en diensten op te lossen.

goede komen. Dit fonds kan dan specifiek beogen informatiebeveiliging op een hoger plan te krijgen, bijvoorbeeld door met deze middelen op te treden als launching customer voor Security

Een tweede aanleiding voor systeemverantwoordelijkheid van de overheid is er waar de effecten van

by Design.

een onvoldoende aandacht voor informatiebeveiliging over de grenzen van de private sector heen in het publieke domein gaan spelen. Illustratief is hier digitaal identiteitsmanagement. Momenteel is

Ter toelichting het volgende. Het College Bescherming Persoonsgegevens (Cbp) - de toezicht-

nauwelijks sprake van regulering of zelfs maar politieke aandacht voor het gebruik, de kwaliteit en

houder op de naleving van de regels van de Wet bescherming persoonsgegevens, waaronder de

daarmee de veiligheid van digitale identiteiten in de private sector. Zwembaden, supermarkten, werk-

beveiligingsbepaling en de uitwerking daarvan via de Richtsnoeren Beveiliging van Persoonsge-

gevers en computerfabrikanten experimenteren bijvoorbeeld volop met nieuwe toepassingen van bio-

gevens10 - kan momenteel alleen dreigen met een dwangsom als de beveiliging niet op orde blijkt.

metrische identiteitsbepaling. Hoe het met garanties voor de kwaliteit en veiligheid hiervan is gesteld,

Het Cbp vraagt al langer om de bevoegdheid ook boetes op te kunnen leggen, soortgelijk aan de

blijft echter onduidelijk. Nu de praktijk laat zien dat bij het gebruik van identiteiten de grenzen tussen

bevoegdheid die de OPTA heeft. De laatstgenoemde heeft namelijk op grond van art. 15.4, vierde

de publieke en private sector steeds diffuser worden, zijn er serieuze risico’s dat ook de veiligheid van

lid, Telecommunicatiewet de mogelijkheid om een bestuurlijke boete van ten hoogste € 450.000,-

systemen voor de identiteitsbepaling door de publieke sector verwatert.

op te leggen bij overtreding van de beveiligingsplicht die conform art. 11.3 Telecommunicatiewet rust op aanbieders van openbare elektronische communicatienetwerken en -diensten. Inmiddels

Interventie door de overheid kan ook voorbeeldstellend en richtinggevend voor andere sectoren zijn.

ziet het ernaar uit het sanctionerend instrumentarium van Cbp wel wordt uitgebreid met het

Bijvoorbeeld door organisaties te stimuleren een minimumniveau van veiligheid te realiseren en aldus

boete-instrument, maar de nieuwe bevoegdheid ziet echter op een heel specifieke situatie. Het

hun zorgplicht wat betreft de veiligheid van systemen en gegevens invulling te geven.9 Stimulerend

Wetsvoorstel ‘gebruik camerabeelden en meldplicht datalekken’11 introduceert namelijk de plicht

kan bijvoorbeeld werken wanneer het Openbaar Ministerie (OM) zegt een stap harder te gaan lopen

voor bedrijven en overheden die persoonsgegevens verzamelen en gebruiken om een datalek zo

voor partijen die hebben voldaan aan een bepaalde zorgplicht waar het informatiebeveiliging betreft.

snel mogelijk te melden bij het Cbp. Als een datalek niet wordt gemeld, kan de toezichthouder het

En tegelijkertijd bedrijven en organisaties hard aanpakt als ze daarin nalatig zijn, ook om ervoor te

bedrijf of de overheidsinstantie een boete van maximaal € 200.000,- opleggen. Het zal duidelijk

zorgen dat partijen die niet voldoen aan een zorgplicht onterecht economisch voordeel behalen. Een

zijn dat deze meldplicht voor datalekken in nauw verband staat met de eerdergenoemde beveili-

en ander betekent overigens wel dat nagedacht zal moeten worden over objectieve maatstaven voor

gingsverplichting van art. 13 Wbp. Juist ook gezien deze samenhang bepleitte het Cbp twee jaar

de invulling en omvang van deze zorgplicht en de rol die alle partijen in een bepaalde keten (bijvoor-

geleden dat inbreuken op art. 13 Wbp ook bestuurlijk door het CBP kunnen worden beboet.12

beeld de keten van financiële transacties, waarbij niet alleen banken maar ook webwinkels, ISP’s en consumenten zijn betrokken) daarbij hebben te spelen, gegeven hun mogelijkheden tot interventie,

Ook voor overheidsinstanties die de veiligheid van informatiesystemen en gegevens onvoldoen-

verdienmodel en de lasten die ze kunnen dragen. Ook zal hier meer dan momenteel het geval is,

de serieus nemen, is beboeting zeker geen ondenkbeeldig scenario. Zoals bekend zijn in het

nagedacht moeten worden over de back-upfaciliteiten van verzekerbaarheid en schadefondsen voor

strafrecht handelingen van tot de centrale overheid behorende bestuursorganen (vooralsnog) niet

degenen die aan de vastgestelde zorgplichten hebben voldaan. Bij het totstandkomen van een level

strafbaar. Maar in het bestuursrecht zijn de handelingen van deze organen wel beboetbaar, aldus

playing field voor verantwoordelijkheidsverdeling kan de overheid vanuit haar systeemverantwoorde-

de Afdeling Bestuursrechtspraak van de Raad van State.13 Met andere woorden: de Staat kan in

lijkheid stimulerend, initiërend en interveniërend optreden. In zo’n situatie ook, kan het OM een stap

principe worden beboet14 en daarmee is er ruimte om het verontachtzamen van de wettelijke re-

terug doen waar het strafrechtelijke handhaving en sanctionering betreft en alle capaciteiten koesteren

gels voor het beveiligen van persoonsgegevens ook als dat binnen de overheid gebeurt, daadwer-

voor die situaties waarin het strafrecht daadwerkelijk als ultimum remedium heeft te functioneren. In

kelijk te sanctioneren. En als het aan de Europese wetgever ligt, gaan deze boetes in de toekomst

deze zin is interventie door de overheid vanuit systeemverantwoordelijkheid kan ook ingegeven door

flink omhoog.15 De Ontwerpverordening gegevensbescherming bevat in art. 79 (6e) een maxima-

de prijs die de overheid betaalt voor de kosten van opsporing.

le boete van € 1.000.000,- dan wel 2% van de jaarlijkse omzet wereldwijd voor schending van de beveiligingsverplichting. Van een actief gebruik door de toezichthouder (Cbp) van de ruimte tot

Dat de overheid in financiële zin een flinke prijs voor niet alleen de kosten van opsporing, maar

het beboeten van bestuursorganen zou een heldere signaalwerking uit kunnen gaan. Deze boetes

ook informatiebeveiliging betaalt, is duidelijk. Dat doet de vraag rijzen of bedrijven en over-

zouden zoals hiervoor al gesuggereerd, ten goede kunnen komen aan een fonds dat specifiek ten

heidsinstanties die onvoldoende aandacht hebben voor informatiebeveiliging, niet harder aan-

doel heeft informatiebeveiliging binnen de overheid op een hoger plan te krijgen.

128

129

Ten slotte: een bestuurlijke agenda voor iVeiligheidszorg Het voorgaande betoog levert een aantal concrete punten op voor een bestuurlijke agenda op het terrein van informatieveiligheid, die is ingezet vanuit de twee leidende motieven in dit essay: begrenzing en systeemverantwoordelijkheid. Kort samengevat zijn deze punten de volgende. Informatiebeveiliging heeft weliswaar bij de meerderheid van de overheidsinstanties de aandacht, maar is onvoldoende meegegaan in de hedendaagse realiteit van een vernetwerkte overheid. De risico’s die deze vernetwerking in zich draagt voor het belang van informatieveiligheid staan niet of nauwelijks op het netvlies van politiek en beleid. Juist daarom ook ontbreken de juiste verantwoordelijkheidsstructuren en het daartoe noodzakelijke beleidsinstrumentarium om een meer verknoopte aanpak van informatieveiligheid te doordenken en te ontwikkelen. Wil de overheid het pad van digitalisering met vertrouwen kunnen vervolgen, dan zal het op een veel meer geïntegreerde wijze met het belang van informatieveiligheid om moeten gaan. Belangrijk is het om hier aansluiting te zoeken bij andere initiatieven die de rijksoverheid momenteel neemt op het terrein van veiligheid, risico’s en verantwoordelijkheden. Het is immers belangrijk om ook te leren van de ervaringen op andere dossiers als het gaat om verwachtingen en mogelijkheden om veiligheid te garanderen. Aansluiting zal daarom gezocht moeten worden bij de Strategie Nationale Veiligheid, en de daaraan gekoppelde Nationale Risicobeoordeling, alsmede het BZK-programma Risico’s en verantwoordelijkheden. Vanuit deze ambitie geldt eveneens dat aansluiting gezocht moet worden bij de initiatieven van andere departementen op het terrein van informatieveiligheid, waarbij in ieder geval genoemd moet worden het cybersecurity-programma van het ministerie van Veiligheid & Justitie. Noodzakelijk is hierbij tevens te komen tot het opstellen van een overkoepelend kader voor de uitvoering en handhaving van informatiebeveiliging en zeker ook de wijze waarop de daarvoor noodzakelijke verantwoordelijkheidsstructuur moet worden ingericht. Tot voorbeeld kan hier dienen de door de staatssecretaris van Infrastructuur en Milieu (IenM) aangekondigde maatregelen op het terrein van IenM-veiligheid, die moeten resulteren in een dossieroverstijgend kader voor de veiligheidsvraagstukken op de beleidsterreinen van dit departement. Onderwerpen die – naar

“Het is ondenkbaar dat je als bestuurder niet elke dag bezig bent met continuïteit en privacy.”

voorbeeld van IenM – in een dossieroverstijgend kader voor iVeiligheid aan de orde moeten ko-

Hans Blokpoel,

men zijn: uniform en deskundig toezicht met toezichthouders die zowel als één loket en daarmee

algemeen directeur

vanuit deze gedeelde voorkant als één systeemtoezicht opereren als ook vanuit een bundeling van krachten beschikken over de noodzakelijke expertise en prioriteitsstelling; uniforme, afgestemde en voorspelbare handhaving met meer en hogere sanctiemogelijkheden; transparantie als het gaat om toezicht- en handhavingsregels en -praktijken; doorzettingsmacht voor de verantwoordelijk bewindspersoon als doeltreffende handhaving in gedrang komt.16 Het belang van een dergelijk kader is dat het zowel een baken als een sturingsinstrument kan zijn voor degenen die in de praktijk van alle dag verantwoordelijkheid nemen en dragen voor de wijze waarop i-veiligheidszorg vorm krijgt.

130

Belastingdienst

Een belangrijke opdracht is ook het expliciteren van informatieveiligheid als onderdeel van de toetsing en uiteindelijk wellicht ook sanctionering van overheidsbeleid. In de voorgaande paragraaf heb ik al gewezen op de mogelijkheid tot het beboeten van bestuursorganen wanneer deze het belang van informatiebeveiliging verontachtzamen. Hiernaast wil ik wijzen op de rol van de beginselen van behoorlijk bestuur. Zoals bekend nemen deze beginselen een centrale positie in bij het toetsen door de bestuursrechter maar ook de Nationale ombudsman van het handelen van overheidsinstanties. De behoorlijkheidsvereisten vormen voor de Nationale ombudsman het toetsingskader bij de beoordeling van het handelen van de overheid en daarmee ook het handelen met het oog op informatieveiligheid. Voldoet het optreden van een bestuursorgaan in de concrete context aan deze vereisten dan wordt dit optreden als behoorlijk aangemerkt. De behoorlijkheidsvereisten vormen, zoals de Nationale ombudsman het zelf formuleert, in zekere zin de gedragscode voor de overheid.17 Uiteindelijk moeten deze vereisten ook de noodzakelijke checks and balances kunnen garanderen voor de wijze waarop de overheid omgaat met informatieveiligheid en de keuzes die hieraan ten grondslag liggen (zoals het hiervoor besproken wegen van stuwendee, verankerende en procesmatige belangen). De afgelopen jaren heeft de Nationale ombudsman bij meerdere gelegenheden de aandacht gevraagd voor de kwetsbare kanten van digitalisering, zoals de betrouwbaarheid en veiligheid van DigiD.18 Een vierde opdracht betreft de noodzaak om informatieveiligheid prominent op de tekentafels van de overheid neer te leggen. Keuzes over informatieveiligheid zijn in essentie politieke en beleidsmatige keuzes en pas in het verlengde daarvan technische keuzes. En dit betekent dat een cruciale rol is weggelegd voor het opdrachtgeverschap van de overheid. Het uitwerken en vaststellen van de eisen aan en de functies van nieuwe systemen en applicaties is bepalend voor de veiligheid en de (toekomstige) risico’s van nieuwe toepassingen. Het opdrachtgeverschap van de overheid zou daarom moeten investeren in kennis op het snijpunt van beleid, uitvoering en informatieveiligheid in plaats van investeren in technische kennis over deze veiligheid. Alleen door te investeren in kennis op dit snijpunt kan het wegen van (stuwende, verankerende en procesmatige) belangen en daarmee zorg voor de noodzakelijke beperking tot onderdeel van het opdrachtgeverschap van de overheid worden. Ten slotte ligt er bij de overheid een verantwoordelijkheid om zich de ontwikkelingen in de informatiesamenleving aan te trekken, en waar noodzakelijk daarin te interveniëren. Paragraaf 4 bevat enkele suggesties voor een nadere concretisering van deze verantwoordelijkheid, waaronder de opdracht voor de overheid om objectieve maatstaven te ontwikkelen voor een zorgplicht op het terrein van informatiebeveiliging, om vervolgens actoren die gehoor geven aan deze zorgplicht de hand toe te steken en die actoren die deze plicht aan hun laars lappen hard aan te pakken. Uiteraard zijn dergelijke interventies altijd politiek gekleurd en omstreden. Toch zal er moeten worden geprobeerd een soort common ground te formuleren voor het niveau van informatieveiligheid waar de overheid garant voor staat. Het is de zoektocht naar deze common ground die politiek en beleid hebben te agenderen vanuit het besef dat er – zeker ook als het op zoiets cruciaals als informatieveiligheid aankomt - ten principale een eindverantwoordelijkheid bij de overheid ligt.

132

1 Zie: Privacy & Identity Lab, Eindrapport iOverheid, burger in beeld, TNO 2012 R11216, p. 9. 2 Zie al eerder hierover: B.J. Koops, S. van der Hof & V. Bekkers, “Risico’s in de netwerksamenleving: over vervlochten netwerken en kwetsbare overheden”, in: Lips, Bekkers & Zuurmond (red.), ICT en openbaar bestuur, Utrecht: Lemma 2005, pp. 671-706. 3 Artikel 13 Wbp luidt: “De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.” 4 Nationaal Cyber Security Center, Whitepaper NCSC, Cloudcomputing & Security, Den Haag januari 2012 5 Zie onder meer: Zienswijze CBP over cloud computing, Den Haag: 10 september 2012. Zie ook de beveiligingsraamwerken zoals specifiek voor cloud ontwikkeld door de Open Security Architecture en de Cloud Security Alliance (deze incorporeren ISO 27002): <www.opensecurityarchitecture.org/cms/en/library/patternlandscape/251-pattern-cloud-computing> en 6 Beschikbaar via: <www.wrr.nl>. Amsterdam University Press 2011. 7 Ministerie van Justitie, Visie op biometrie in de identiteitsketen publieke sector, Den Haag, Programma VIPS, juli 2010, p. 33. 8 Eeten, M. van (2011) “Gedijen bij onveiligheid: afwegingen rond de risico’s van informatietechnologie”, in D. Broeders, C. Cuijpers & J.E.J. Prins, De staat van informatie, WRR verkenning nr.25, Amsterdam: Amsterdam University Press. 9 Zie over de rol die civiel- en strafrechtelijke zorgplichten bij informatiebeveiliging kunnen vervullen: J.E.J. Prins, “Zorgplichten en Cybercrime”, Nederlands Juristenblad, 2013, p. 1185. In reactie hierop: B. Jacobs, “De DDos Paradox”, Nederlands Juristenblad, 2013 pp. 2191- ev; E. Tjong Tjin Tai, “Zorgplichten van banken tegen Ddos-aanvallen”, Nederlands Juristenblad 2013, pp. 2196. 10 www.cbpweb.nl/Pages/pb_20130219_richtsnoeren-beveiliging-persoonsgegevens.aspx 11 Wetsvoorstel tot wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de verruiming van de mogelijkheid van het gebruik van camerabeelden van strafbare feiten ten behoeve van de ondersteuning van de rechtshandhaving en de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens, 33662, Kamerstukken II, 2011/12, nrs. 1-2. 12 Advies College Bescherming Persoonsgegevens over het wetsvoorstel “Meldplicht datalekken en camerabeelden”, Den Haag 22 maart 2012. 13 Afdeling Bestuursrechtspraak Raad van State (ABRS) 12 mei 2010, ECLI:NL:RVS:2010:BM4168, AB 2010, 185. 14 Bij decentrale overheden lijkt voor beboeten overigens minder ruimte te bestaan. Zie: ABRS 23 april 2008, ECLI:NL:RVS:2008:BD0232, AB 2010, 180. 15 Zie de ontwerp-Verordening zoals gepresenteerd door de Europese Commissie op 27 januari 2012. 16 Zie: Magazine Nationale Veiligheid en Crisisbeheersing, nr. 5 2013, p. 15. Zie over de noodzaak tot doorzettingsmacht op het terrein van informatiebeleid ook het WRR-rapport iOverheid. 17 Nationale ombudsman, (2007), p. 112. De behoorlijkheidsvereisten zijn te vinden op de website van de Nationale ombudsman <www.nationaleombudsman.nl> 18 Zie onder meer het rapport “De burger gaat digitaal”, Den Haag, december 2013 en de daarin opgenomen uitkomsten van een enquête, onder meer over (het gebrek aan) vertrouwen in informatiebeveiliging door de overheid.

133

“In de toekomst gaat het onderwerp informatieveiligheid voor de burgers veel meer leven, omdat wij een beroep op hen doen.”

9. Strakke schakels, kwetsbare ketens: naar uitgebalanceerde samenwerking rond informatieveiligheid mark van twist

Decaan en bestuurder Nederlandse School voor Openbaar Bestuur (NSOB)

martijn van der steen

Ronald Vennink, Wethouder Velsen

Adjunct-directeur en co-decaan Nederlandse School voor Openbaar Bestuur (NSOB)

Urgenter en relevanter risico: toenemend belang Niets nieuws onder de zon? Informatieveiligheid is geen nieuwe kwestie. Sterker nog, het is een klassiek probleem van overheidsdiensten. Verloren stukken in de trein, een gestolen aktentas, een oud-papierbak met persoonlijke gegevens of een aan de straat gezette PC die vol staat met gevoelige data. Soms diefstal, vaak gewoon slordigheid. Allebei met belangrijke consequenties. In dat opzicht niet nieuw, maar toch zijn er zaken die het belang van de kwestie in onze tijd vergroten. Allereerst gaat het om schaal. Waar in de zoekgeraakte tas een beperkt aantal stukken zat, betekent een beveiligingslek nu dat niet alleen de tas zoek is maar dat de hele achterliggende kast open staat. Gegevens kunnen ook door ‘kleine kieren’ op grote schaal worden geëxporteerd, in heel korte tijd. Ten tweede is de informatie steeds minder direct gerelateerd aan één zaak, maar wordt vooral de bulk interessant. Een zoekgeraakt dossier was gevoelig en vervelend, maar vooral voor de betreffende betrokkene en de zaak Foto: dinosmichail / Shutterstock.com

waarover het ging. Tegenwoordig wordt informatie gebruikt voor commerciële of criminele doelen die anders werken. Geen chantage, maar identiteitsfraude. Niet één dossier uitmelken, maar de veelheid van data gebruiken voor commerciële doeleinden, bijvoorbeeld voor gerichte reclame op basis van gebruikersprofielen. Of, een stapje ernstiger, gericht verhoogde premies door zorgverzekeraars op basis van vertrouwelijke gegevens over de medische geschiedenis van een patiënt. Het gaat bij informatieveiligheid niet om een zomaar een denkbaar risico, maar om concrete gevaren

135

voor individuele burgers, bedrijven, overheidsinstellingen, openbare orde en fysieke veiligheid.

handen van de gemeente en die informatie vertegenwoordigt veel waarde voor grote en kleine

Oud of niet, het doet er betrekkelijk weinig toe als er grote belangen en publieke basiswaarden op

partijen die zoeken naar mazen in het beveiligingsweb. De gemeente professionaliseren, maar de

het spel staan.

partijen waarmee ze strijden ook. Zo is er sprake van een wedloop tussen gemeenten die bewust of onbewust steeds méér en steeds gevoeligere informatie accumuleren, waar professionaliserende

Niet nieuw, wel anders

partijen (groot en klein) achteraan jagen.

Dat informatieveiligheid en onveiligheid van alle tijden zijn, laat onverlet dat er nu wel veel zaken anders zijn. Zo is de informatie steeds meer gedeeld, wat naast gebruikersgemak voor extra kwets-

De begroting wordt krapper: meer met minder

baarheid zorgt. Gedeelde informatie is handig en verhoogt de productiviteit en gebruiksvriende-

En terwijl de datacenters groter worden, wordt de gemeentebegroting krapper. Informatiebeheer

lijkheid van systemen, maar het zorgt ook voor nieuwe kwetsbaarheid. Informatie staat niet meer

wordt door de toename in volume en gevoeligheid van informatie steeds belangrijker, maar moet

ergens lokaal op een server in het eigen gebouw, maar ergens virtueel in de Cloud. Het is over-

vorm krijgen in een context van kleiner budget. Bezuinigingen op de begroting laten zich voelen

al toegankelijk, maar daarmee verliest de organisatie ook grip op de toegang. Mensen gebruiken

in het budget voor informatiebeheer. Ook als dat “ontzien” wordt betekent het dat er nog steeds

onbeveiligde Wi-Fi-verbindingen op allerlei locaties en werken vanuit daar op de gemeentelijke

maar beperkt budget is voor beveiliging. De ontwikkeling en de opbouw van een nieuw systeem

bestanden. Heel prettig voor hen, maar het maakt het leven van wie kwaad wil ook gemakkelijker.

kan nog als bijzonder project verkocht worden, maar het ontbreekt aan structureel geld voor verder

Beveiliging helpt en hindert tegelijk. Een alarm vergroot de gevoelde veiligheid, maar zorgt ook

ontwikkelde beveiliging van informatie. Zo staat het vermogen tot beveiliging van informatie onder

voor nieuwe zorgen: weet je de code nog, net van huis het ongemakkelijke gevoel dat het misschien

druk. Er zijn bezuinigingen, de taken van gemeenten nemen al toe, de buitenwereld wordt steeds

niet aan staat, op vakantie de telefoon bij de hand omdat de centrale kan bellen, rechtop in bed als

slimmer, de technologie wordt ingewikkelder, en gebruiksvriendelijke toepassingen zorgen tevens

het per ongeluk af gaat. En net als de beveiliging voor ongemak zorgt, zijn juist de bronnen van

voor toenemende kwetsbaarheid.

gevaar zaken die het leven aangenamer maken. ‘Bring your own’ is voor individuele medewerkers heerlijk, net zoals het zelf zonder gedoe kunnen installeren van de apps en toepassingen die handig

De wedloop tussen toenemend belang en afnemend vermogen

zijn. Eén wachtwoord voor alle programma’s, liefst gemakkelijk te onthouden. En hoe handig is het

Er staat dus veel op het spel: het belang van informatieveiligheid neem toe, terwijl het vermogen

om met goede koffie te kunnen inloggen op een public Wi-Fi in een koffiehuis ergens onder weg.

om voor die informatieveiligheid te zorgen afneemt – of in ieder geval onder grote druk staat. Om

Lekker en makkelijk voor de mens, zondig en fout vanuit het systeem. Gemakkelijk voor de mens,

goed te kunnen werken en operationele kwaliteit te kunnen leveren moeten gemeenten de informa-

gemakkelijk voor het gemeentelijke netwerk. Welke malware, spyware en andere ‘gevaarlijke’ ele-

tie kunnen laten stromen, maar tegelijkertijd moeten ze ook zorgen voor adequate beveiliging er

menten brengen de thuiswerkers en hun zelf gekozen apparaten en programma’s mee? Thuis wordt

van. En daarbij staan ze tegenover zich steeds verder professionaliserende partijen: soms internati-

werk en werkt wordt thuis, maar wat als de gegevens van het werk thuis zoek raken? De klassieke

onaal opererende bendes, soms pubers vanaf een zolderkamer, soms bedrijven die meer of minder

principes van beveiliging gaan uit van begrenzing en juist die begrenzing raakt door de inzet van

legaal proberen om door toegang tot informatie een commercieel voordeel te behalen. Hoe gaan

gebruiksvriendelijke technologie steeds meer zoek. En niet zoek in de zin van iets dat kwijt raakt en

gemeenten hier mee om? Welke strategieën kunnen ze hiervoor hanteren? Hoe geven ze invulling

wat we maar niet terug kunnen vinden, maar als iets waar mensen juist van af willen en ze blij zijn

aan het spanningsveld dat ze zelf verantwoordelijk zijn voor veilige informatie én ze die veiligheid

dat ze het kwijt zijn. Bevrijd van de kaders van het systeem, maar daarmee ook los van de traditi-

in samenwerking met andere partijen moeten realiseren?

onele beveiligingsmechanismen. Als ze al werkten doen ze dat nu in ieder geval niet meer. En dus, los van of ze het ooit ook echt deden, de traditionele hekken, sloten en kaders om informatiesyste-

Ja, maar: na het instemmend geknik

men en communicatietechnologie zeker te stellen doen het niet meer. Omdat de centrale controle

Het toenemende belang van informatieveiligheid en de ongemakkelijke spanning met het afnemen-

op de informatiesystemen verdwijnt, raakt ook het systeem van gecentraliseerde beveiliging zoek.

de vermogen om er goed mee om te gaan wordt door bestuurders en professionals gedeeld. Er is discussie over de oplossing, maar de kwestie is onder de aandacht. Iedereen vindt veiligheid een

Informatie is opgeteld gevoeliger

wezenlijk onderdeel van informatiebeleid. Vraag er naar en er komt een bevestigend antwoord en

Belangrijker nog is dat de informatie niet alleen in zijn toepassing, maar ook in zijn aard gevoeliger

instemmend geknik. “Ja, dat vinden wij hier van het grootste belang.” Zelden pleit iemand voor

is geworden. Gevoegd bij het feit dat de waarde van grootschalige informatiebestanden is ontdekt,

onveilig informatiebeleid, net zoals een publiekelijk voorstel voor verbetering van de veiligheid

zowel in de reguliere markt als door criminele organisatie, maakt de waarde van de straks door

nauwelijks tot expliciete tegenwerpingen leidt. Toch verbloemt die publiekelijke helderheid en het

gemeenten beheerde informatie steeds groter. Door de decentralisaties komt er veel informatie in

eensgezinde geluid een belangrijk aspect. Voorbij het instemmend geknik op de vraag naar veilig-

136

137

heid blijkt informatieveilighed een onderwerp waar weinig bestuurders uit zichzelf over beginnen. Ze knikken instemmend als je er naar vraagt, maar spreken er met enige terughoudendheid over. In gesprekken over de nieuwe aanpak van de decentralisaties snijden weinig lokale bestuurders (wethouders of burgemeesters) eerst het onderwerp informatieveiligheid aan. Ze spreken over de nieuwe taken, over de samenwerking in de praktijk, komen dan (soms) bij het belang van gedeelde informatie, en zeggen dan nog iets over dat het vanzelf spreekt dat die informatie veilig is. En heel vaak zeggen ze dat laatste niet. Informatieveiligheid is bij voorkeur vanzelfsprekend. Een belangrijke reden om niet steeds over informatieveiligheid te beginnen is dat het bespreken van deze kwestie vaak het gevoel van onveiligheid oproept. Veel mensen realiseren zich niet hoe gevoelig de informatie is die gemeenten van hen beheren en dat is misschien voor hen wel zo prettig ook. Zo zit informatieveiligheid weliswaar ‘tussen de oren’, maar wel een beetje achterin de aandacht. En voor het alledaagse comfort, of in gevoelige besluitvormingsprocessen, is dat ook wel zo gemakkelijk. Eén zorg minder. Dynamisch denken over veiligheid maken Veilig is (niet) heilig Vaak agendeert een essay of een traject van bijeenkomsten en sessies van bestuurders een nog onvoldoende onderkend probleem. De aandacht is beperkt, terwijl er meer nodig is. Het belang is niet gedeeld, terwijl dat wel zou moeten. Er is nog onvoldoende gebeurd, terwijl er nog zoveel moet. In dit geval is het volgens ons toch anders. Er wordt niet te weinig gedaan, integendeel. Er gebeurt heel veel, het vraagstuk van informatieveiligheid wordt met grote daadkracht aangepakt. Gemeenten werken er individueel met grote inzet aan en stellen wezenlijke middelen vrij voor het opbouwen van een beveiligde informatieomgeving. Daarnaast investeren partijen nadrukkelijk in hun samenwerking en in de onderlinge samenhang van hun inspanningen. Zo is er al veel bereikt, variërend van gemeenschappelijk of gedeelde structuren – zoals de baseline informatieveiligheid – en protocollen, tot de inspanningen om door diepgaande metingen en audits te speuren naar de gaten en kieren in de informatieveiligheid. Er wordt veel gedaan, er is veel bereikt en er staat nog het nodige te gebeuren. De veiligheid is nog niet af, maar er is al veel in beweging gebracht. Toch leert nadere analyse van de tot nu toe ondernomen inspanningen dat zich daarin een belangrijke leemte bevindt. Niet op het niveau van een technisch gat in de systeembouw, maar meer op conceptueel niveau, in de manier waarop de beveiliging wordt benaderd. De aandacht is tot nu toe sterk gericht geweest op informatieveiligheid als opgave van organisatieontwerp: technische expertise, adequate organisatie, voldoende middelen en een uitgedachte balans in belangen die op het spel staan, zoals bijvoorbeeld gebruiksvriendelijkheid en veiligheid. Informatieveiligheid wordt benaderd als een operatie die vooral gaat om aandacht, middelen, expertise en techniek. Dat zijn uiteraard cruciale onderwerpen, maar het is de vraag of ze de systemen uiteindelijk ook werkelijk veiliger maken.

138

139

Wij vragen hier aandacht voor een andere dimensie van informatieveiligheid, die niet gaat over hoe

2. Een stevige aanpak leidt tot snel verslappende aandacht

systemen technisch werken, maar hoe mensen met die technische systemen werken. Informatievei-

Vergelijkbaar is het gedragseffect dat de lancering van een omvangrijke aanpak, met vaak een

ligheid is een wisselwerking tussen techniek en gebruik, tussen toegang en omgang. In het concrete

gespecialiseerde projectorganisatie er omheen, leidt tot externalisering van de opgave. De keuze

gebruik, maar ook in de allocatie van aandacht. Protocollen kunnen er zijn, maar hebben alleen zin

voor de stevige aanpak heeft uiteraard als bedoeling om een aantal dingen snel en goed op orde te

als mensen ze volgen. Een speciale medewerker belast met veiligheid werkt alleen als alle andere

brengen, en alle partijen met het fenomeen in aanraking te laten komen: ‘veiligheid is van ons al-

medewerkers de gevraagde discipline opbrengen. En krachtig programma informatieveiligheid is

lemaal’. Maar tegelijkertijd zorgt het grote programma er voor dat het gevoel ontstaat dat er ergens

alleen sterk als het leidt tot inbedding in de staande organisatie en de alledaagse werkelijkheid van

wel anderen zijn die er mee bezig zijn. En de stevige aanpak impliceert meestal een fasering, waar-

medewerkers. Veiligheid is geen product van voldoende stevige maar statische systemen, maar

bij majeure aandacht aan het begin op een moment weer uitdooft en overgaat tot ‘going concern’.

omvat het vermogen om intelligente structuren te bouwen die aansluiten bij de sociale werkelijk-

Onbedoeld leidt het niet tot doorgaande en zichzelf versterkende aandacht, maar heeft de krachtige

heid van mensen die ze moeten gebruiken. De systeembouwers maken het systeem, maar het zijn

impuls als onbedoeld effect dat het een tijdelijke maatregel wordt. Een piek, die opgevolgd wordt

de gebruikers (medewerkers, managers, bestuurders, buitenstaanders) die uiteindelijk maken dat

door een periode van rust. Let wel, dat is nooit de taal van het programma en de betrokkenen. Het

het al dan niet werkt. Het is technisch vaak problematisch als systemen naast elkaar bestaan die

is een gedragseffect dat met de tijd optreedt: de aanpak kan eenvoudigweg niet altijd stevig zijn.

niet goed met elkaar kunnen communiceren, maar het is nog veel erger als de gebruikers van het systeem er niet mee kunnen of willen interacteren. En die interactie heeft nogal eens een paradoxaal

3. Het beeld van bouwen suggereert een afronding

karakter, met – voor wie er geen rekening mee houdt – onverwachte gevolgen. Let wel, het zijn

Organisaties zijn druk bezig met opbouwen of uitbouwen van systemen voor de informatieveilig-

geen ontwerpfouten of tekorten, maar de paradoxale gevolgen van te eenvoudig doordachte goede

heid. Dat is een logisch beeld, maar het is tevens verraderlijk. Opbouw impliceert dat het op een

bedoelingen. Ze doen geen afbreuk aan de deels ondernomen en deels nog te ontwikkelen stappen

moment ‘staat’ en zo goed als af is. Een beetje bijhouden, hier en daar aanpassen, maar het grote

in het Programma Informatieveiligheid; ze voegen er een dimensie aan toe die, mits geïntegreerd in

werk is dan gedaan. Ook in de bestuurlijke aandacht komt dit terug. Tijdens de bouw doen allerlei

de aanpak, maken dat het systeem straks niet alleen staat, maar het ook werkt en meebeweegt met

partijen mee en is het onderwerp van gesprek. Dan ontstaan ook vragen naar wanneer het klaar is

de zich ontwikkelende praktijk.

en hoe ver men al is. Op een gegeven moment moet het dan klaar zijn, het bouwen kan niet altijd maar doorgaan. Informatiebeveiligingssystemen zijn niet eeuwig in aanbouw, zoals de Sagrada

1. Veilige systemen zorgen voor gevaarlijk gedrag

Familia, waarbij de continue bouw deel van de schoonheid. Het is eerder zoals de bouw van een

We kennen allemaal de zogeheten gordelparadox. Een deel van het veiligheidseffect van het dragen

kantorencomplex; er is een moment waarop het gereed en gebruiksklaar moet zijn. Op zich is er

van een autogordel gaat verloren doordat mensen met de gordel om gevaarlijker rijden. Hetzelfde

niets mis met een systeem dat af is, maar de realiteit van informatieveiligheid zal zijn dat door de

geldt voor ABS en alle andere systemen. Mensen passen hun gedrag aan op de door hen geperci-

snelheid van ontwikkelingen de ‘bouw’ veel meer een proces van continue aanpassing, uitbouw,

pieerde veiligheid van hun systemen. Zo gaat het ook met informatiebeveiliging. Juist daar waar

herinrichting, verbouwing en gedeeltelijke afbraak is.

de standaard van de veiligheid het grootst is, ligt het gevaar van gevaarlijk gedrag op de loer. Waar mensen zich bewust zijn van het gevaar en gedragen ze zich veiliger. Ze nemen voorzorg,

4. Door inpassing in lopende systemen verliest het zijn bijzonderheid

kijken zelf actief uit, en signaleren mogelijke risico’s. Soms worden systemen veiliger als mensen

Informatieveiligheid is geen primair proces, in die zin dat het niet tot directe producten of diensten

zich onbeschermd voelen. Het uitrollen van grootschalige beveiligingssystemen neemt veel van die

leidt. Het is een afgeleide, bijkomende zaak, hoewel daarmee zoals eerder beschreven niet minder

prikkel tot waakzaamheid weg. Sterker nog, de introductie van het systeem maakt dat mensen hun

belangrijk. Cruciaal is echter dat het door het secundaire karakter – in de zin van geen direct tast-

leervermogen aanwenden om praktische workarounds en ‘olifantenpaadjes’ te ontwikkelen die in

baar product – het nooit vanzelfsprekend onder de aandacht van het strategisch management of

of rond het systeem de leefwereld vergemakkelijken. Het systeem is zo veilig, dat mensen menen

het bestuur staat. Die aandacht moet geconstrueerd worden en dat gebeurt via systematisering en

zich wat handigheid en veraangenaming te kunnen veroorloven. Wie zich achter een onneembare

professionalisering. Er worden meetsystemen gemaakt die leiden tot rapportages aan het manage-

muur waant, neemt ruimte voor wat afwijking van het protocol; ‘van één bypass stort dit prach-

ment. Er worden audits uitgevoerd die met stoplichten laten zien waar men in control is en waar

tige systeem vast niet in’. Wie zonder verdediging het gevaar recht in de ogen ziet zal het nooit

mogelijke risico’s zich bevinden. Dat zijn technische analyses, maar tevens beeldende interventies

zo zeggen. Niet omdat de één laks is en de ander niet, eenvoudigweg omdat in beide situaties het

om de aandacht van de leiding te mobiliseren. Het vraagstuk moet zichtbaar in beeld gebracht

bewustzijn van het gevaar heel anders is. Gevoeld gevaar zorgt voor veiliger gedrag; vermeende

worden, om te voorkomen dat het via negatieve incidenten onder de aandacht komt. Betrokkenen

veiligheid vergroot de verleiding van gevaarlijk gedrag.

verbeteren hun systemen steeds verder en maken ze steeds professioneler, waarbij langzaamaan de

140

141

“ICT en informatieveiligheid moeten een integraal onderdeel zijn van het besturen van een provincie.” George van Heukelom, lid Gedeputeerde Staten Provincie Zeeland en bestuurslid IPO

professionaliseringsparadox intreedt: de rapportages die urgentie moeten wekken raken geïnterna-

stresstest laat zien dat het systeem het goed doet bij een aantal risico’s, maar toont ook kwetsbaar-

liseerd in de organisatie en worden beantwoord met evenzeer professionele antwoorden. Er wordt

heid op andere elementen. Het laat zien hoe het gaat met wat er is, maar dat roept onvermijdelijk

een proces voor gemaakt, het wordt een terugkerend punt op de agenda en er wordt een medewer-

zorgen op over wat er allemaal nog ontbreekt. Het voorbeeld van een kleinere gemeente die met in-

ker voor aangesteld. Dat lijkt ‘aandacht’, maar het is het niet; het onderwerp komt juist buiten de

formatieveiligheid aan de slag gaat illustreert het sluipende maar amper te keren proces van steeds

aandacht te liggen. Waar de eerste rapportages nog ‘arousel’ creëerden en voor ongemak zorgden,

beter maar nooit genoeg. Eerst is er een medewerker voor informatieveiligheid. Maar heeft die wel

wordt met de professionalisering van de systematiek ook het antwoord steeds meer een formaliteit.

voldoende gewicht? Dan schalen we op en is er een zwaardere medewerker, maar kan die het wel

Wat eerste een door de gehele leiding gevoelde splinter in de vinger was, is nu een splinter die op

alleen? Vervolgens is er een klein team van mensen die zich er mee bezig houden, maar hebben

een schaaltje wordt gepresenteerd. Hij is beter zichtbaar dan ooit, maar wordt niet meer gevoeld –

die wel voldoende bevoegdheden? Dan is er een directe lijn naar het MT en zijn er protocollen

en leidt dus tot steeds minder reactie. Niet omdat het systeem niet goed is, maar juist omdat het te

voor concrete noodsituaties, maar die dekken lang niet alle mogelijkheden af. Dan zijn er meer

zeer geperfectioneerd is.

omvangrijke protocollen, maar die vereisen ook steeds verder gaande technische expertise die bijna niet meer in eigen huis te organiseren is. Dan is er externe inhuur, maar die is omwille van kosten

5. Beveiligingssystemen stichten zelf gevaar

beperkt en uit de nieuwe hoogwaardige analyses blijkt dat er toch nog belangrijke kwetsbaarhe-

Een terugkerend thema in de inrichting van veiligheid en preventieve systemen is de vraag hoe

den zijn. Vervolgens ontwikkelt de organisatie daarvoor een nieuw systeem, dat echter dusdanig

veilig het systeem uiteindelijk moet en kan zijn: hoeveel veiligheid kan een systeem verdragen. De

ingrijpend is dat het bestuur en ook de Gemeenteraad er steeds meer aandacht voor ontwikkelen.

paradox van het betonnen zwemvest is dat het vest zo zwaar wordt dat de drager naar de bodem

Er komen vragen over de veiligheid en de wethouder maakt het zijn eerste prioriteit. Dat is voor de

zinkt. Informatiesystemen kunnen zo goed beveiligd worden dat mensen er amper meer gebruik

Raad aanleiding om er een vast onderwerp van te maken en men maakt zich zorgen over de kwets-

van kunnen maken. Dat werkt onveilig gedrag in de hand, mensen gaan zich om de beveiliging

baarheden die er ondanks jarenlange inzet nog steeds zijn. Moet er niet bijgeschakeld worden?

heen organiseren, maar het schaaft ook de primaire processen van de organisatie. Informatie kan zo veilig zijn dat letterlijk niemand er meer bij kan – ook niet de normale gebruikers.

Paradoxale gevolgen van goede bedoelingen Elk van de zeven paradoxale mechanismen maakt dat een interventie om de urgentie te vergroten,

6. Dringend alarm zorgt voor zuinige reactie

het systeem veiliger te maken en bestuurlijke kracht te mobiliseren er toe leidt dat de (aandacht

Er is in onder andere de audit-literatuur veel werk gedaan over de beste manier om een ‘moeilij-

voor) informatieveiligheid kleiner wordt. De complexiteit van de techniek is één, de dynamiek

ke boodschap’ te brengen. Auditors waarschuwen voor problemen, maar hoe doen ze dat op een

van bestuurders, managers en gebruikers met informatiesystemen is iets heel anders. Wie infor-

manier die ook maakt dat de ontvanger van die boodschap actie onderneemt. Als het probleem te

matieveiligheid onder de aandacht wil brengen én houden zal zich rekenschap moeten geven van

groot wordt gemaakt, dan lijkt de oplossing onmogelijk en nodigt het eerder uit tot passiviteit. Er

deze dynamiek. Het vormt de constante van informatieveiligheid en moet daarom in de kern van

is toch niets aan te doen. Is de boodschap te klein, dan is de urgentie beperkt: het kan nog wel even

de aanpak een plek krijgen, in plaats van als uitzondering te worden uitgebannen. Veiligheid is niet

zo, we zien het aan, er is iemand mee bezig. En achterblijvende prestaties zijn vaak ook wel ergens

iets dat een projectorganisatie of programmateam door systeembouw maakt, maar is een copro-

aan te wijten, maar moet de boodschap zelf ook schuld adresseren: je moet iemand aanspreken om

ductie waarin gebruikers, deskundigen, betrokkenen en belanghebbenden samen het systeem en de

gehoord te worden, maar het direct aanspreken leidt evengoed tot defensief gedrag. Zo is het steeds

informatie veilig maken

zoeken naar de beste manier om wel aandacht te generen voor het belang van informatieveiligheid, zonder daarmee al in de boodschap zelf de deur voor vervolg dicht te gooien.

Samenwerken als opgave: het geketende netwerk De bovengenoemde inspanningen zijn bijna per definitie aan de orde in een contact waarin de vei-

7. Steeds beter, nooit goed genoeg

ligheid van de één een product is van de handelingen en systemen van de ander. Partijen die zich-

Wie eenmaal het pad van investering en aandacht voor veiligheid inslaat komt terecht op een hel-

zelf los kunnen schakelen van het netwerk kunnen het zich misschien veroorloven om hun eigen

lend vlak. Elke stap naar vooruit maakt dat er eigenlijk geen argument is om niet ook de volgende

veiligheid te organiseren, maar voor alle andere partijen geldt dat hun belangrijkste kwetsbaarheden

stap nog te nemen. Zo wordt het steeds beter, maar is het nooit genoeg. Niet omdat het te weinig

voortkomen uit interacties met anderen. Informatieveiligheid is daarmee in belangrijke mate een

veilig is, maar omdat er eenvoudigweg geen argumenten zijn om niet nog een extra beetje veilig-

vraagstuk van samenwerking tussen organisaties. Gemeenten kunnen individueel hun zaken op

heid in te bouwen. Dat is meer dan onmatigheid van de gebruiker – of gulzigheid van het systeem.

orde hebben, maar dat is van betrekkelijk weinig waarde als andere partijen dat niet hebben – of

Bij elke uitbreiding van het systeem voor veiligheid ontstaat zicht op nieuwe onveiligheid. Een

als tussen partijen alsnog gaten ontstaan. Samenwerking is nodig om de eigen gaten te dichten,

145

maar ook om nieuwe gaten tussen partijen samen op te pakken. Vanuit die beide redenen hebben

ze daarmee tegenspreken, of zoeken juist de confrontatie met anderen om het zo oprecht beter te

gemeenten elkaar nodig, net zoals ze samen moeten werken met private partijen en andere publieke

maken. Meedoen, tegenstribbelen, verzet tonen of steunen zijn in interbestuurlijke processen geen

partners.

zaken die zich op oppervlakteniveau doen gelden . We werken samen en daarom doen we zelf nog even niets. We doen het met zijn allen en daarom maken wij nu nog even geen kosten. Het heeft

Die noodzaak van samenwerking wordt door alle partijen ook wel onderkend. Sterker nog, partijen

prioriteit, maar die ligt wel vooral bij de regio. Het heeft onze aandacht, maar we gaan nu eenmaal

hebben stappen ondernomen om hun eigen informatieveiligheid als een coproductie op te pakken.

maar zo snel als de langzaamste. Samenwerken en de uitdaging gemeenschappelijk aanpakken

Dat gebeurt bestuurlijk, door aldaar het commitment uit te spreken, maar ook operationeel. Partijen

klinkt daadkrachtig, maar het kan evengoed leiden tot vertraging en steeds opnieuw stapelende

trekken samen op, spreken samen hun baseline af, en bouwen hun systemen zo dat ze op de ander

belemmeringen. Zo is er, net als op het niveau van individuele organisaties, ook voor wat betreft de

zijn afgestemd. Informatieveiligheid is onverminderd een taak van iedere gemeente op zich, maar

samenwerking tussen partijen een reeks paradoxale mechanismen te benoemen.

gemeenten pakken die taak steeds meer samenwerkend op. Die erkenning van de noodzaak tot samenwerking leidt tot platformorganisaties en nationaal georganiseerde samenwerkingsverbanden.

1. Samenwerken legt onbedoeld verschillen bloot

Daarnaast zijn er regionale verbanden, van gemeenten die elkaar in algemene zin goed liggen of die

Partijen werken samen om tot één lijn te komen, maar samen betekent niet allemaal hetzelfde. In

gemeenschappelijke uitdagingen en kwetsbaarheden zien. De beweging is indrukwekkend. Partijen

samenwerkingen draait het om wat partijen gemeen hebben, maar zijn de onderlinge verschillen

melden zich aan, ondertekenen intentieverklaringen en zetten op organisatieniveau stappen om aan

minstens zo belangrijk. De ene gemeente is de andere niet, contexten en mogelijkheden verschillen,

de afgesproken baseline te voldoen. Dat zijn belangrijke signalen van voortgang, die tegelijkertijd

ook als de taken op papier ongeveer hetzelfde zijn. Dat geldt helemaal zodra de samenwerking ook

niet betekenen dat het van hieruit vanzelf vooruit gaat.

andere bestuurslagen omvat. Provincies doen mee, maar zijn toch echt anders. Het Rijk zit aan tafel, maar opereert op een heel ander schaalniveau. Iedereen is welwillend, maar bij elke poging

Net als in op het niveau van systemen is ook op het niveau van de verschillende concrete platforms

om dichterbij elkaar te komen hoort inherent de vaststelling dat partijen toch wel erg van elkaar

en vehikels voor samenwerking een reeks complexe en paradoxale beginselen te benoemen die

verschillen. De intentie om samen te werken en tot één gemeenschappelijke standaard en werkwijze

voor onvoorspelbaarheid zorgen. Dat wil zeggen, wie de samenwerking en het proces beziet vanuit

te komen neemt dat niet weg. Dat wordt scherper zichtbaar naarmate partijen pogingen onderne-

de enkelvoudige logica van het ontwerp ziet stevige constructies die het succes bijna wel moeten

men om juist meer samen te gaan doen. Dan wordt zichtbaar dat ondanks de goede intenties niet

verzekeren. Borgen en verbeteren moet in die lijn van denken bovendien gezocht worden in het

de overeenkomsten maar de verschillen kenmerkend zijn. Samenwerken is niet het formuleren van

verder fine-tunen en strak trekken van de onderlinge verbanden, zodat partijen steeds dichter op

het gemeenschappelijke doel of het afspraken van de gezamenlijke aanpak, maar evenzeer het pro-

elkaar georganiseerd worden. Als de doelen maar gedeeld zijn, de processen op elkaar geschakeld,

ductief omgaan met de onderliggende verschillen tussen partijen. Een goede samenwerking maakt

de lucht uit de systemen geperst is en de belangen gelijk lopen komt de samenwerking vanzelf tot

partijen niet allemaal gelijk, maar bouwt op de onderlinge verschillen.

bloei. Vanuit dat beeld bezien gaat het goed en is helder hoe het nog beter kan: het bestaande netwerk van samenwerkende partijen moet steeds meer, en meer gedisciplineerd, gaan samenwerken

2. Gedeelde doelen maar verschillende prioriteiten

volgens het organisatiemodel van de keten. Gelijkvormig, gecoördineerd, helder en opgelijnd. Door

Samenwerking legt bloot dat partijen andere prioriteiten stellen. Partijen zijn niet alleen verschil-

het netwerk te ketenen – in strakke ketens te organiseren – wordt de basis voor informatieveiligheid

lend, ze leggen ook andere accenten. De gemeenschappelijke afspraken maken altijd deel uit van

gelegd. Een aantal van de ondernomen stappen en de voorstellen voor vervolg zijn in dat kader te

een breder scala afwegingen en prioriteiten en daar maken partijen andere keuzes in. Ze onder-

begrijpen.

schrijven het akkoord, maar het belang daarvan in relatie tot de vele andere eigen lokale prioriteiten ligt overal anders. Dat zorgt voor intense en soms tijdrovende discussies en zelfs conflicten over

Afstemmen en coördineren zijn prima, maar de praktijk van interbestuurlijke samenwerking is

oorzaken en gevolgen en over de gewenste aanpak daarvan. Partijen willen hetzelfde, maar doen

ingewikkelder. Dat netwerken maar niet tot eenduidige richting komen is geen gevolg van afstem-

uiteindelijk toch net andere dingen, in een ander tempo. Dat is op zichzelf geen probleem, zo gaat

mingsproblemen of tekort aan mandaat, maar is een inherente eigenschap. Belangen verschillen,

het altijd, maar het wordt ingewikkeld zodra partijen zich expliciet verbinden aan doelen die alleen

perspectieven zijn anders en versnelling en vertraging wisselen elkaar onvermijdelijk af. In dat

in samenwerking kunnen worden gehaald. Veel samenwerkingspogingen zijn er op gericht om dit

proces kan de keuze voor “verdergaande samenwerking” synoniem staan voor bewuste vertraging

soort verschillen te neutraliseren, bijvoorbeeld door partijen bindend te committeren aan afspraken

en kan het nemen van een besluit bedoeld zijn om de besluiteloosheid te markeren. Partijen doen

en kritische deadlines. Daarmee kunnen partijen misschien deels wel gedisciplineerd worden, maar

mee om te hinderen, of stappen er uit om een impuls te geven. Ze spreken hun steun uit omdat

is het probleem van de verschillende prioriteiten niet opgelost; die zijn er, maar kunnen minder

146

147

makkelijk invulling krijgen. Dat nodigt niet uit tot meer betrokken samenwerken, maar tot slimmere ontduiking of met minimale inspanning de afspraken halen. Duurzame samenwerking erkent de verschillende prioriteiten, geeft daaraan ruimte en bouwt op intrinsieke motivatie van partijen om gaandeweg het proces de prioriteiten dichter bij te brengen. 3. Belangen lopen langzaam uiteen Samenwerkingsovereenkomsten maken expliciet dat er afspraken zijn waar alle partijen zich aan houden. Ze expliciteren het gedeelde belang en de gezamenlijke intentie. Toch moet niet worden vergeten dat die gedeelde belangen altijd een verbuiging zijn van wat uiteindelijk tegenstrijdige belangen zijn van betrokken partijen. Het Rijk wil andere dingen dan de gemeenten. Dat zij er op deelbelangen uit kunnen komen en samen een productieve samenwerking kunnen overeenkomen betekent niet dat hun verschillen weg zijn. In actieve samenwerking blijven die verschillen voortdurend opspelen en in de meeste processen worden ze gaandeweg het proces vordert langzaam weer groter. Het moment van ondertekening van het convenant was achteraf bezien vaak het toppunt van gemeenschappelijkheid, daarna komen rondom heel concrete kwesties en afwegingen steeds vaker de tegengestelde belangen op tafel. Niet altijd expliciet, maar wel altijd op de achtergrond. Zelfs al zijn alle partijen het eens over de urgentie van de kwestie, dan nog lopen hun belangen uiteen. Zo zijn samenwerkingsverbanden bundels van belangen die op hoofdlijnen een gemeenschappelijk doel onderschrijven, maar waar onder het oppervlak onverminderd de belangen uiteen lopen. Dat is geen probleem voor effectieve samenwerking, mits er in het ontwerp rekening mee overeengekomen samenwerkingsverband al te expliciet de eigen andere belangen in te brengen. Dat wordt opgevat als een breuk met het samenwerkingsverband, een niet-productieve interventie die daarmee ook meer is dan het melden van een tegenstrijdigheid. Het brengt de samenwerking zelf in gevaar, wordt daarmee groot, en lastig binnen het bedachte construct af te handelen. Partijen worden gedwongen te kiezen, de intenties te herbevestigen en kleur te bekennen. Daar staat tegenover dat het erkennen van de verschillen en daar ruimte voor te maken er voor zorgt dat partijen zich op termijn meer betrokken zullen voelen. Het gangbare beeld mag zijn dat juist door de gemeenschappelijkheid af te dwingen partijen op termijn nader tot elkaar komen, de praktijk is eerder tegenovergesteld. Partijen worden in het ongemak gedwongen en kunnen de spanning al snel niet meer goed in het arrangement kwijt. 4. Productie-en flexibiliteitsverlies Samenwerking is een begrip waar iedereen voor is. Wie wil er nou niet samen optrekken, of in ieder geval een poging ondernemen. Alleen ga je sneller, samen kom je verder; uiteindelijk willen organisaties toch graag ver komen. Toch kent ook samenwerking keerzijdes, er is een ‘dark side’ aan het applausbegrip. Dat is geen kwestie van goede of slechte samenwerking, maar een inherente eigenschap van het niet alleen maar samen optrekken. Samen optrekken leidt op bepaalde aspecten misschien tot synergie, elders is het vooral productieverlies. Samenwerken kost tijd en verkleint de

148

“Met de

Resolutie hebben alle gemeenten aangegeven dat informatieveiligheid hoog op de bestuurlijke agenda staat.” Aat de Jonge, Burgemeester Dronten Foto: TonyV3112 / Shutterstock.com

wordt gehouden. Vaak echter wordt het tegenovergestelde gedaan en is het ‘not done’ om in een

mogelijkheid om lokale oplossingen, die daar goed werken, te handhaven. Partijen leveren speel-

en zorgen dat partijen niet uit de pas lopen. Met dat model is op zichzelf niets mis, zolang de opgave

ruimte in, die ze goed zouden kunnen benutten om op onverwachte ontwikkelingen te reageren. Als

maar min of meer stabiel is. Niet voor niets reproduceert het ketenmodel een ‘lopende band’, waarbij

ze in bepaalde primaire processen veranderingen willen aanbrengen moeten ze steeds nagaan hoe

partijen op lijn geschakeld worden. Dat werkt efficiënt, maar zorgt tevens voor problemen. De keten is

die zich verhouden tot de gemeenschappelijke afspraken. Zo wordt wat bedoeld was als hefboom

zo sterk als de zwakste schakel, maar het tegenovergestelde is temidden van complexiteit ook waar: al

om de effectiviteit van de organisatie te vergroten tevens een beperking van de mogelijkheden.

te sterke schakels maken ketens die uiteindelijk zwak zijn als ze onder druk komen te staan. Zolang de problematiek zich keurig binnen de kaders beweegt gaat het goed, maar zodra de problematiek over

5. Vrijwillige verstrikking

de randen gaat en beweeglijk is wordt het lastiger. Dan zitten de sterke schakels in de weg, omdat ze

Partijen werken samen en kiezen daar zelf voor. Maar het is de vraag of waar ze in eerste instantie

een realiteit voorschrijven die er mogelijk niet is. Hoe strakker de afspraak, hoe lastiger het is om te

voor kiezen gelijk staat aan wat dat op langere termijn betekent. Samenwerking zorgt voor entrap-

improviseren en lokale betekenis te geven aan wat er aan de hand is. Als de omgeving onvoorspelbaar

ment, voor verstrikking in processen. Partijen kiezen er voor om samen op te trekken, maar zodra

is, dan is juist ruimte voor maatwerk, snel reageren en eigen initiatief nodig. De keten wordt sterker

ze dat eenmaal doen kunnen ze er niet goed meer uit stappen. En waar het samenwerkingsverband

als de schakels meer ruimte laten voor variëteit.

de neiging heeft om uit te dijen en te verbreden, is het steeds een grote stap om de uitbreiding niet te accepteren. Daarmee komt immers het geheel in gevaar en daar was men oorspronkelijk. Zo

We openden dit essay met de verwijzing naar vroeger: de romantiek van vergeten tas in de trein of de

ontstaat langzaam het gevoel dat partijen niet meer terug kunnen, ook al zouden ze dat wel willen.

zoekgeraakte USB-stick met gevoelige informatie. Of het verbrandde archief, want informatieveilig-

Ze zijn gevangen in een arrangement, waar ze zich wel zelf vrijwillig deel van hebben gemaakt.

heid gaat over bewaken maar ook over bewaren. Het lijkt bijna een romantisch verlangen naar toen,

Een variant op dit thema die zich eveneens vaak voordoet is capture. Partijen kopen diensten van

een tijd waarin het informatielek nog overzichtelijk was. Toen het nog mogelijk was om grenzen te

een leverancier in, met op het eerste gezicht een goede deal, maar zitten dan vervolgens vast aan

stellen en met disciplinering de veiligheid te vergroten. Tegelijkertijd laat ons essay zien dat de hui-

die leverancier. Het systeem draait nu eenmaal op hun techniek en overstappen betekent dat de

dige tijd zich dubbelzinning tot dat verleden verhoudt. In zekere mate zijn de veranderingen namelijk

investeringen voor niets zijn geweest. En de capture is zelf-versterkend, want omdat partijen vast

helemaal niet zo groot; er is niet zoveel verschil tussen de vergeten tas in de trein en de onveilige om-

zitten aan het systeem kiezen ze voor hun uitbreidingen ook maar voor deze leverancier. Zo groeit

gang met systemen. Zorgvuldigheid, goed opletten, veilig gedrag en risicobewustzijn vormen nog net

het systeem waar ze niet van af kunnen verder aan, waarmee ze er nog moeilijk uit kunnen stappen.

zo goed als eerst de basis voor een veilig systeem met goed beveiligde informatie. In die zin is ook het bewaren van stukken in een tas een interactie tussen mens en systeem; als die haper, de mens vergeet

6. Gebundelde kracht is geen gestapelde creativiteit

de tas, dan hapert het systeem. Los van alle waarmerken en borging die er mogelijk in zit. Daarnaast

In samenwerkingsverbanden bundelen partijen de krachten. Ze trekken samen op, omdat ze “samen

is het systeem van nu wezenlijk anders als toen, zowel vanwege de technische complexiteit ervan als

sterker zijn”. De vraag is echter of sterker ook slimmer is? Dat partijen meer massa kunnen mobi-

door de veranderingen in de aard van de bedreigingen. De kunst is vervolgens om vanuit die ambiva-

liseren en daarmee sommige dingen beter kunnen staat vast, maar zijn ze ook in staat om beter te

lentie de juiste elementen te nemen en daarop het nieuwe repertoire voor informatieveiligheid te bou-

reageren op onverwachte ontwikkelingen? Of staan dan in eerste instantie de afgesproken protocol-

wen. Gelijk blijft de essentie van veiligheid als product van interactie tussen mens en systeem, waarbij

len centraal, waar alleen na consensus van afgeweken kan worden. Dat is van groot belang, omdat

uiteindelijk de menselijke maat bepalend is. Ook, of misschien wel juist, als die interactie zich afspeelt

de uitdaging van informatieveiligheid er bij uitstek één van onverwachte wendingen en moeilijk te

binnen hoogwaardige technische systemen die nog maar een heel beperkt aantal mensen begrijpt en

voorziene wendingen zal zijn. Een zekere massa is dan welkom, maar kan evengoed maken dat het

overziet. Het belang van interactie is geen afgeleide van de kennis van het systeem of het begrip er

reactievermogen kleiner wordt. Zolang de creativiteit geen expliciete plaats krijgt in de samenwer-

van. Dat zijn andere grootheden, die niets over elkaar zeggen. Daarnaast moet ook meegewogen

king is de kans groot dat deze in de pogingen om samen massa te maken verwatert.

worden dat de technologische én organisatorische context waarbinnen informatieveiligheid aan de orde is volstrekt anders is dan vroeger. De context kenmerkt door diepe complexiteit, waarin grenzen

Als de basis op orde is: ruimte laten voor complexiteit

vervagen, in elkaar overlopen en processen elkaar voortdurend bedoeld én onbedoeld beïnvloeden.

Het lijkt verleidelijk om in geval van een grote opgave, die meerdere partijen aangaat, voortvarend

Technisch design vereist categorisering en afbakening van delen en domeinen, maar in de werkelijk-

de samenwerking te zoeken. Een programma instellen, bestuurlijk draagvlak organiseren, acties in

heid lopen die in elkaar over en werken ze op elkaar in. Dat betekent dat er een manier gevonden moet

gang zetten en over de voortgang rapporteren. De verdeling over meer partijen betekent bovendien

worden om binnen de technische mogelijkheden en noodzaak tot technische begrenzing juist gezocht

dat er samengewerkt moet worden. Daarop laten we het model van de keten los, wat betekent dat er

moet worden naar manieren om met grensvervaging om te gaan. Dat is de realiteit van organiseren,

regie op de samenwerking plaatsvindt en dat de schakels gesloten moeten worden. Straks organiseren

dus is er behoefte aan systemen die de realiteit van grensvervaging en grensverwarring serieus nemen.

150

151

“Informatieveiligheid is echt een onder-demotorkaponderwerp. Maar wel eentje dat geld en aandacht behoeft.” Louke Vissers, Wijkregisseur VleutenDe Meern, Utrecht

Basis op orde, verbazing voorbij

te meten. Ze zoeken naar mogelijkheden om de gevaren ofwel te voorkomen, ofwel reservecapa-

Op dit moment worden er belangrijke stappen gezet om de basis van informatieveiligheid op orde te

citeit, buffers en terugvalopties te ontwikkelen voor als het mis gaat. De organisatie maakt zich

brengen. Er is de baseline informatieveiligheid, certificering, control modellen en er worden afhan-

groot, dik, zwaar en stevig om op het moment dat het nodig is sterk genoeg te zijn. Wendbaarheid

kelijkheids- en kwetsbaarheidsanalyses uitgevoerd. Gemeenten zijn aan het werk, maar veiligheid

benadrukt juist de lichtheid, het vermogen om snel te zien waar de verstoring is, wat de oorzaak

is meer dan alleen het inbouwen van meer waarborgen, het opwerpen van meer hindernissen en ob-

is en wat adequate eerste antwoorden kunnen zijn.

stakels. Normen stellen en audits uitvoeren is niet hetzelfde als duurzaam borgen van veiligheid. Ze zorgen voor schijnzekerheid, die verankerd wordt in modellen, metingen, stoplichten en rapporten.

Strategisch improviseren

Het risico dat daar bij hoort is onteigening van de thematiek, waarbij na een korte impuls tijdens

Juist omdat het onderwerp zo dynamisch is, is de strategie van wendbaarheid van groot belang.

het programma de aandacht van het bestuur en het management snel weer weg zakt. Het risico is

Niet als enige optie, maar als volgende laag bovenop de baseline die wordt aangelegd. De pro-

ingekapseld in systematiek, uitgeplaatst bij deskundigen en mensen die er voor zijn vrijgesteld. Die

gramma’s die in ontwikkeling zorgen voor de basis, maar die heeft alleen zin als daar bovenop

dragen zorg voor de veiligheid, zodat anderen daar minder zorg voor hoeven te hebben. Niemand

de mechanismen van wendbaarheid geborgd worden. Dat klinkt logisch, “natuurlijk doen we

zal het expliciet zo zeggen, maar het is wel wat in de praktijk in veiligheidsdossiers gebeurt. Waar-

het allebei”, maar datgene dat de baseline bouwt staat haaks op het vermogen tot veerkracht.

om zou het bij informatieveiligheid anders zijn?

Het voorkomen wordt de standaard, control is de norm. Er is geen ruimte meer voor twijfel en onzekerheid, terwijl dat aan de basis van veerkracht staat. Het moet allebei, maar het gaat maar

Daarom moet het idee van de baseline meer letterlijk genomen worden dan nu het geval is. Het is

zelden samen. Om die combinatie invulling te geven moeten organisaties leren om strategisch te

een basis, een uitgangspunt van waaruit het echte werk begint. En dat werk moet niet liggen bij

improviseren. Wel doordacht en met een doel voor ogen, maar met maximale ruimte om steeds

diegenen die vanuit hun professionaliteit bezig zijn met informatieveiligheid, maar bij allen die

te signaleren welke veranderingen zich voordoen, wat er nodig lijkt, en daar dan vervolgens naar

bezig zijn met informatie. Die urgentie wordt niet gewekt door de veiligheid in systemen onder

te handelen.

te brengen die de gevaren steeds verder indammen – met bijbehorende rapportages van de auditors dat de organisatie steeds meer in control komt –, maar door juist de aandacht te vestigen op

Het ontketende netwerk

de continue onveiligheid van informatie. Dat werkt niet langs de weg van de rapportages, maar

Informatieveiligheid blijft ook in een improviserende en op veerkracht sturende vorm een zaak

door betrokkenen ‘gecontroleerd’ in situaties van onveiligheid te brengen. Bijvoorbeeld door de

van samenwerken. Partijen moeten elkaar versterken, al was het alleen al omdat ze zonder elkaar

onveiligheid te ondervinden in stresstests, waarbij recente incidenten elders op de eigen organi-

onmogelijk het gewenste veiligheidsniveau kunnen realiseren. Dat kan vervolgens echter alleen,

satie worden geprojecteerd. Kan de Sinterklaas-actie in Amsterdam ook hier gebeuren? Zijn wij

als in inrichting van het systeem én het proces de complexiteit van het netwerk recht gedaan

zelf de Pieter Hilhorst van de komende tijd? Wat als DigiNotar nu plaatsvindt, hoe staan wij er

wordt. Partijen die anders zijn, maar van daaruit samen dingen kunnen ondernemen. Gemeen-

dan op? Wat doen we? Wie belt wie? En zijn we dan bereid om maatregelen te nemen, die tege-

schappelijke standaarden, als basis voor variëteit en onderling verschil. Een projectorganisatie

lijkertijd ook productieverlies betekenen en chagrijn en schade bij anderen opleveren. Achteraf

die het proces laat bloeien, ook als dat van het projectplan afwijkt. Doelen die gesteld worden om

zijn die analyses gemakkelijk gemaakt, maar wat als het echt zover is? Dan gaat het niet om een

dynamiek teweeg te brengen die de doelen overtreft of overbodig maakt. Waar de natuurlijke nei-

gestroomlijnd proces met rapportages en audits, maar om ‘streetwise’ bestuurders en managers

ging in systeembouw steeds is om de complexiteit en variëteit in strak gekoppelde procedures in

die weten hoe ze moeten handelen en waar ze op moeten letten.

te dammen en in een keten onder te brengen, vereist het netwerk iets anders. Het is goed om een stevige keten te bouwen, als die toelaat dat de dynamiek van het netwerk van daaruit kan groeien.

Genezen is niet altijd beter dan voorkomen

Het netwerk moet niet geketend worden; het systeem moet de kracht van het netwerk ontketenen.

En de voorbereiding kan ook een stap verder gaan. Niet alleen oefenen met de crisissituatie, maar vooraf kijken hoe de crisis voorkomen kan worden. En dan niet door te toetsen aan de ideale situ-

Vertaling in handelingsrepertoire: loslaten, vasthouden, verder brengen

atie en de standaard, maar door een aantal ongebruikelijke paden te bewandelen. Social hackers

De analyse in dit essay laat zien dat er voorbij de technische complexiteit van het vraagstuk een

inhuren, de kwetsbaarheden niet toedekken maar ze juist vergroten. De gaten opzoeken, zodat de

interactieve complexiteit heeft, die gaat over de interactie van mens en systeem, en van men-

organisatie zich er op kan voorbereiden. Niet door alles bij voorbaat op te lossen, maar door juist

sen onderling in samenwerkingsverbanden. Dat werpt licht op mogelijke handelingsopties die

in te zetten op wendbaarheid; het vermogen om met onverwachte verstoringen om te gaan. Het

bestuurders (en andere betrokkenen) kunnen inzetten in hun eigen organisatie en de samenwer-

beeld van wendbaarheid staat tegenover de weerbaarheid die organisaties zichzelf proberen aan

kingsverbanden waarin ze actief zijn. We benoemen er hier zeven.

154

155

1.Ruimte voor snelheid

toegelaten; dat vergroot de dekking van de samenwerking en – zo is een veelgebruikt argument – het

Benut en beloon de wil van bepaalde partijen om het voortouw te nemen, nieuwe dingen te proberen

stimuleert die partijen om extra snel te leren en hun niveau op te trekken tot dat van de andere partners.

en zodoende lessen te leren die uiteindelijk voor het collectief ook nuttig kunnen zijn. In de praktijk

Ze moeten ingroeien, maar mogen dat als volwaardig lid doen. Ervaring leert dat de effecten daarvan

is dat vaak lastig, omdat samenwerkingsverbanden in gelijke tred willen optrekken en veel aandacht

dikwijls anders dan bedoeld zijn. Eenmaal lid verdwijnt een belangrijke prikkel voor leren en vaak

zich richt op het meekrijgen van de langzaamste. Dat vertraagt het geheel, maar haalt bovenal de

duren de aanpassingsprocessen ook gewoon lang, omdat problemen hardnekkig zijn. Selectiviteit (op

energie voor de versnellers weg. Schep daarom in het arrangement ruimte voor overheden die een

grond van kwaliteit) zou een veel belangrijker criterium voor toelating moeten zijn, belangrijker dan

vooruitstrevende en verkennende rol ambiëren in de samenwerking bij de aanpak van maatschap-

de wens tot algehele dekking van de doelgroep. Laat overheden die ruimte willen bij samenwerking

pelijke vraagstukken. Hinder ze niet, maar eer ze juist, geef ze een podium om successen te vieren.

in betrekkingen zich daarvoor kwalificeren. Waarborging van een zekere kwaliteit kan als voorwaarde voor de overdracht van verantwoordelijkheden dienen.

2. Zelfbinding zorgt voor eigenaarschap In samenwerkingsverbanden is het van groot belang dat partijen dezelfde standaarden en regels han-

5. Beloon verschil in plaats van gelijkvormigheid

teren. Die moeten ontwikkeld en afgesproken worden, waarbij vaak om redenen van efficiency en

Onbedoeld streven veel samenwerkingsverbanden naar gelijkvormigheid in prestaties en – als ge-

expertise voor centrale sturing. Iemand gaat namens het samenwerkingsverband aan de slag, om na

volg – naar gemiddelde kwaliteit. Dat is lastig voor de partijen onder het gemiddelde, die forse extra

enige tijd terug te rapporteren over “de” afspraken die gemaakt moeten worden. Die worden dan na-

inspanningen moeten leveren. Het is ook vervelend voor de partijen die beter presteren, want zij

mens het samenwerkingsverband aan individuele partijen opgelegd. Omdat zij zich er niet in herken-

zien hun kwaliteit vaak niet beloond. Interessant wordt het als de samenwerking variëteit toestaat in

nen, geen eigenaarschap voelen en misschien beperkte maar concrete problemen er mee hebben gaan

de mate waarin partijen worden gecontroleerd en beoordeeld, zodat verschil in prestatie maximaal

ze niet mee maar mobiliseren ze juist verzet. Wat snel leek – ‘we ontwikkelen de afspraken centraal,

gezien, herkend en beloond wordt. Wie voorop loopt krijgt minder controle en kan zichzelf monito-

zodat er geen gedoe over ontstaat’ – zorgt alsnog voor vertraging. Het alternatief is eenvoudig. Vraag

ren, wie achter loopt wordt juist intensiever gevolgd en begeleid. Zo ontstaat ook meer ruimte voor

de overheden die bereid zijn om te participeren in de samenwerking om zelf aan te geven aan welke

verdiend vertrouwen in de relatie en wordt excellentie gehonoreerd met minder lasten, grotere zelf-

kaderstellende regels en afspraken ze wel én niet behoefte hebben, zonder zo de verantwoordelijkheid

standigheid en positieve zichtbaarheid.

voor een eigen finale afweging uit handen te geven. Zelfbinding maakt eigenaarschap. 6. Helderheid over risico’s en vertragende partijen 3. Coproduceer normen en indicatoren

In lijn met het toelaten van verschil is dat er afspraken zijn over hoe gebrek aan samenwerkingsbe-

Hetzelfde geldt voor de meer operationele normen en indicatoren voor evaluatie en verslaglegging.

reidheid wordt behandeld. In plaats van het gebrek te ontkennen, moet het expliciet en transparant

Die kan het samenwerkingsverband ‘van buiten’ opleggen, maar effectiever is het in gezamenlijkheid

worden gemaakt. Schep dus helderheid over de gevolgen die verbonden zijn aan een gebrek aan

er van ontwikkelen. Laat de bij een samenwerking betrokken overheden zelf, in een goed geregisseerd

samenwerkingsbereidheid en onvoldoende transparantie: minder zelfstandigheid en meer bemoeienis

proces van interactie via co-productie, de normen en indicatoren aangeven waarop ze via monitoring

met overheden die worden aangemerkt als risico-categorie. Laat het niet bij mooie woorden alleen.

willen worden gevolgd en afgerekend. Zo wordt gebruik gemaakt van lokale expertise én ontstaat

Handel er ook naar.

eigenaarschap voor de normen en indicatoren. Vervolgen kan de monitoring van normen en afspraken onderdeel van een individuele contractuele relatie zijn, waarbij de samenwerkende overheden zelf

7. Verbreed de samenwerking en zorg voor externe druk

kunnen verklaren welke resultaten ze willen bereiken in de samenwerking. Zo ontstaat overeenstem-

Voor een goed werkende samenwerking is scherpte van groot belang. Die komt deels van binnenuit,

ming over de normen, maar is er ook ruimte voor individuele en verschillende afspraken over het

door elkaar kritisch te bevragen. Maar externe disciplinering kan ook erg helpen. Dat kan eenvoudig

tempo van deelnemers.

worden georganiseerd door bondgenootschappen aan te gaan met belanghebbende derden, om zo via druk van buitenaf op de voortgang in de samenwerking te bevorderen. Denk bij afspraken over vei-

4. Kwaliteit als criterium

ligheid dan bijvoorbeeld aan verzekeraars die de verklaringen willen gebruiken als polisvoorwaarden,

Voor veel samenwerkingsverbanden geldt dat ‘dekking’ van de doelgroep als eerst belangrijke cri-

maar ook publieke instanties als de brandweer, vakorganisaties op het gebied van de horeca en belan-

terium wordt gezien. De maat voor succes is dan of alle partijen meedoen. Dat is op zich natuurlijk

genverenigingen op het gebied van veilig uitgaan. Zo ontstaat externe druk, en een realiteitstoets, die

ook goed, maar om partijen mee te laten doen moet vaak afbreuk worden gedaan aan de kwaliteit.

het interne proces mede op gang houdt.

Partijen zijn nog niet ver genoeg en zijn eigenlijk nog niet klaar om mee te doen. Toch worden ze

156

157

10. ICT en burger empowerment –

“Kennisdeling op informatie-

een pleidooi voor digitale autonomie

veiligheidsvlak is het centrale innovatiethema voor de komende jaren.”

geert munnichs

Coördinator Technology Assessment Rathenau Instituut

linda kool

Senior onderzoeker Rathenau Instituut

Kees Jan de Vet, Lid directieraad VNG

frans brom

Hoofd Technology Assessment Rathenau Instituut

Inleiding Onze samenleving digitaliseert in hoog tempo. Computers, tablets en smartphones zijn niet meer weg te denken uit ons leven. Dat geldt zeker voor een land als Nederland, waar het overgrote deel van de bevolking actief is op internet. De voordelen zijn legio: we zijn tegenwoordig altijd en overal bereikbaar, informatie over willekeurig welk onderwerp ligt binnen ieders handbereik en ICT-toepassingen leiden op allerlei terreinen tot meer efficiëntie en gemak. Burgers, bedrijven en overheden maken dan ook volop gebruik van de mogelijkheden die ICT biedt. De digitalisering van ons leven brengt ook risico’s met zich mee. Beveiliging van ICT-systemen tegen ongeoorloofde toegang en bescherming van persoonsgegevens zijn belangrijke thema’s, die voortdurend aandacht behoeven. Informatieveiligheid en privacy staan dan ook hoog op de agenda. Maar tegelijkertijd schort het in de praktijk nogal eens aan voldoende risicobesef. Nog te vaak zijn databestanden van overheden en bedrijven onvoldoende bestand tegen aanvallen van buitenaf of

Foto: Senohrabek / Shutterstock.com

liggen door een slordige omgang met datagegevens van duizenden werknemers, patiënten of burgers op straat. Maar er is meer aan de hand. De voortschrijdende digitalisering gaat veelal gepaard met een groeiende afhankelijkheid van burger en consument van overheid en bedrijfsleven. Informatie is de nieuwe grondstof van de hedendaagse samenleving. Zeggenschap over die informatie vormt dan ook

159

een kernvraagstuk van de informatiesamenleving en zal in toenemende mate de maatschappelijke

Een groot probleem zijn de gebrekkige mogelijkheden van burgers om zich te verweren tegen

verhoudingen bepalen. Vaak zijn het overheden of bedrijven die bepalen welke informatie wordt

fouten in hun virtuele identiteit. Het in de Wet Bescherming Persoonsgegevens (WBP) vastgelegde

verzameld, wie toegang krijgt tot die informatie en wat er vervolgens met die informatie gebeurt.

recht op inzage en correctie van gegevens blijkt in de praktijk vaak niet meer dan een papieren

Het zijn de wensen en behoeften van de Googles, de Albert Heijns en de diverse overheden die

recht. Dit tast de rechtspositie van burgers aan en maakt hen verregaand afhankelijk van het naar

leidend zijn voor de inrichting van ICT-systemen – en veelal niet de belangen van de internetgebrui-

behoren functioneren van ICT-systemen, zonder dat zij daarop veel invloed kunnen uitoefenen.

ker, klant of burger. Maar het gebruik van ICT-systemen hoeft niet per se tot grotere afhankelijkheden te leiden. ICT is namelijk bij uitstek geschikt om de positie van de burger te versterken. Dit

Digitale autonomie

vergt echter een wisseling van perspectief, waarbij andere keuzes worden gemaakt bij de inrichting

Kan het ook anders? De overheid en aan de overheid gelieerde organisaties passen uiteraard grote

van ICT-systemen. Het vergt tevens dat relevante groeperingen en burgers worden betrokken in de

zorgvuldigheid bij de opslag en verwerking van persoonsgegevens toe, zeker als het om gevoelige

discussie over de doelen die ICT-systemen moeten dienen.

gegevens gaat. Bovendien zouden alleen die gegevens moeten worden verzameld die strikt noodzakelijk zijn voor het bereiken van een bepaald doel. De commissie Brouwer heeft er eerder voor

Digitale afhankelijkheid

gepleit de verleiding te weerstaan om maar zoveel mogelijk gegevens te verzamelen. In plaats

De digitalisering van overheidsdiensten leidt ertoe dat de wijze waarop burgers geregistreerd staan

daarvan zou moeten worden uitgegaan van het principe van ‘select before you collect’ (Commissie

in overheidsbestanden – hun virtuele identiteit – bepaalt hoe de overheid hen behandelt. Deze vir-

Brouwer 2009).

tuele identiteit kan gebaseerd zijn op gegevens uit een enkel bestand, maar kan ook geconstrueerd zijn op basis van informatie afkomstig van diverse, aan elkaar gekoppelde bestanden. De persoon

Een zorgvuldige en selectieve omgang met gegevens komt ongetwijfeld ten goede aan de kwaliteit

in kwestie hoeft geen weet te hebben van zijn of haar registratie of van het (geconstrueerde) beeld

en betrouwbaarheid van verzamelde data. Maar fouten kunnen nooit worden uitgesloten. En omdat

dat anderen op basis daarvan over hem of haar vormen.

fouten in iemands virtuele identiteit grote gevolgen kunnen hebben, moet ook aandacht uitgaan naar de informatiepositie van de burger. Wat is nodig om afhankelijkheidsrelaties te doorbreken

De afhankelijkheid die daarmee gepaard gaat toont zich vooral zodra er fouten sluipen in gegevens

en ICT-systemen zodanig in te richten dat burgers meer mogelijkheden krijgen om controle uit te

of een daarop gebaseerd virtuele identiteit. Deze fouten kunnen het gevolg zijn van een incorrecte

oefenen over de gegevens die over hen worden verzameld? Aan de hand van enkele voorbeelden

invoer van gegevens, verouderde data, identiteitsdiefstal of een verkeerde match van gegevens. Als

gaan we hier dieper op in.

gevolg hiervan kan iemand ten onrechte als ‘probleemkind’, ‘wanbetaler’ of ‘drugscrimineel’ worden beschouwd. Een bijkomend probleem is dat fouten voor betrokken overheidsdienaren lang niet

Kilometerheffing en OV-chipkaart

altijd te herkennen zijn. Naarmate meer instanties binnen een informatieketen gegevens aanleveren en naarmate die keten langer is, wordt het moeilijker om de juistheid van gegevens te verifiëren.

Enige jaren gelden werd overwogen een kilometerheffing in te voeren voor het autoverkeer. Hier-

Tegelijk hebben digitale gegevensbestanden vaak een dwingender karakter dan hun papieren voor-

voor zijn verschillende varianten bedacht. Bij een daarvan – de ‘dikke’ variant – zouden de reisge-

gangers. ‘Computers liegen niet’ is een vaak voorkomende gedachte.

gevens zodanig worden opgeslagen en versleuteld dat alleen de automobilist zijn reisbewegingen kon inzien. De innende instantie kon een factuur opstellen, maar de ritgeschiedenis niet nagaan.

Het bovenstaande heeft tot gevolg dat eenmaal gemaakte fouten gemakkelijker een eigen leven

Tegelijkertijd beschikten beide partijen over bewijsmateriaal in geval van fouten of fraude. Deze

gaan leiden. En die fouten laten zich moeilijker herstellen. Zo beschrijft de Nationale ombudsman

dikke variant van de kilometerheffing, die gebruik maakt van ‘zero-knowledge’ cryptografie, zou

in zijn jaarverslag De burger in de ketens (2009) het voorbeeld van een zakenman wiens identiteit

minimaal inbreuk doen op de privacy van de reiziger, terwijl het beoogde doel – prijsdifferentiatie

werd gestolen door een oude bekende met een strafblad. Dit leidde ertoe dat de zakenman jarenlang

voor tijd, plaats en type voertuig – zou kunnen worden gerealiseerd. In deze variant werd het reizi-

in politieregisters te boek stond als drugscrimineel. Als gevolg daarvan kreeg hij te maken met

gersbelang vooropgesteld. Ironisch genoeg is juist wegens privacybezwaren indertijd afgezien van

herhaaldelijke aanhoudingen en huiszoekingen. Hoewel hij steeds kon aantonen dat hij niet diegene

invoering van de kilometerheffing – waarbij moet aangetekend dat nog niet vaststond welke variant

was die de politie zocht, bleek hij niet in staat om de identiteitsverwisseling in de registers gecorri-

uiteindelijk de voorkeur zou krijgen.

geerd te krijgen. De voortdurende verdachtmakingen aan zijn adres leidden tot ernstige schade aan zijn privé- en zakenleven.

Het voorbeeld van de kilometerheffing staat in schril contrast met de OV-chipkaart. Bij de invoering van deze kaart heeft de informatiebehoefte van de vervoersmaatschappijen voorop gestaan. De

160

161

“De digitale snelweg hoort inmiddels tot onze vitale infrastructuur. We zouden vier keer zoveel mensen nodig hebben om weer alles handmatig te doen.” Ronald Barendse,

Lid van de raad van bestuur Sociale Verzekeringsbank (SVB)

van de

vervoerders wilden maximaal inzicht krijgen in reizigersbewegingen en deze informatie kunnen

waarom we wel accepteren dat burgers hun geldzaken via internet regelen, maar hen niet in staat

gebruiken voor commercieel interessante, op de individuele reiziger gerichte aanbiedingen. Hoe-

achten hun medische gegevens te beheren. In ieder geval had het maatschappelijke en politieke

wel dit laatste aan beperkingen onderhevig is gesteld, worden sinds de invoering van de kaart alle

debat over invoering van het landelijk EPD er baat bij gehad als de diverse varianten met hun voors

reizigersbewegingen centraal opgeslagen. Voor opsporingsdoeleinden kan daarvan gebruik worden

en tegens met elkaar hadden kunnen worden vergeleken.

gemaakt – hoewel dat vooraf nooit de bedoeling is geweest van de OV-chipkaart. Decentralisatie jeugdzorg De belangen van de reiziger hebben in ieder geval niet voorop gestaan. Zo had nadrukkelijker kunnen worden gekeken naar het nut voor de reiziger van de verzamelde gegevens. Bijvoorbeeld door

Een derde voorbeeld heeft betrekking op de decentralisatie van de jeugdzorg naar de gemeenten.

gebruik te maken van een ‘best pricing’-systeem, waarbij de kaart bijhoudt of een reiziger vaak

Volgens het kabinetsbeleid dient de jeugdzorg dichter bij de burger te worden georganiseerd. Door

hetzelfde traject neemt en berekent of een abonnement voordeliger is. Ook zou met behulp van ze-

per gezin ‘één behandelplan’ door ‘één regisseur’ te laten opstellen, moet een goede afstemming

ro-knowledge cryptografie een anonieme variant van de OV-chipkaart kunnen worden ontwikkeld

worden gerealiseerd tussen de diverse hulpverlenende instanties die bij een gezin zijn betrokken.

waarmee reizigers in aanmerking komen voor kortingsrechten, wat nu niet het geval is. Er staat in

Het lijkt in dit verband niet meer dan logisch dat relevante gezinsgegevens met de betrokken in-

de huidige situatie een grote prijsdruk op anoniem reizen.

stanties worden gedeeld. Volgens een advies van het Kwaliteitsinstituut Nederlandse Gemeenten (KING) moeten gegevens niet alleen tussen de partners binnen het sociaal domein worden gedeeld,

Elektronisch patiëntendossier

maar bijvoorbeeld ook met school en justitie.

De beoogde invoering van het landelijk elektronisch patiëntendossier (EPD) vormt een tweede

Hoewel de discussie hierover nog gaande is, is het gevaar niet denkbeeldig dat rond de jeugdzorg

voorbeeld van hoe keuzes in de inrichting van een ICT-systeem van invloed zijn op de zeggenschap

een digitaal bouwwerk wordt opgetuigd, waarbij uit het oogpunt van veiligheid en privacy grote

van burgers over hun gegevens. Het primaire doel van het EPD was een veilige uitwisseling van

vraagtekens kunnen worden geplaatst. Zeker omdat het hierbij vaak om privacygevoelige informa-

medische gegevens tussen zorgverleners. Toegang van de patiënt tot zijn medische gegevens kreeg

tie gaat – bijvoorbeeld of kinderen in contact zijn geweest met de politie of ouders een psychiatrisch

pas in een later stadium aandacht, toen de Tweede Kamer daarop aandrong. Maar toen waren er al

verleden hebben. Bovendien is het de vraag of gezinnen ‘in regie’ kunnen blijven – zoals een van

keuzes gemaakt over de inrichting van het systeem, met een landelijk schakelpunt dat uitwisseling

de doelstellingen van het advies luidt. Zo blijft het in het advies onduidelijk welke mogelijkheden

van medische gegevens mogelijk moest maken. Enkele honderdduizenden zorgverleners zouden

ouders hebben om foutieve gegevens of ‘voegsignaleringen’ te corrigeren, of besluiten aan te vech-

toegang krijgen tot die infrastructuur met een zogeheten UZI-pas.

ten die de gezinsregisseur op basis van die gegevens neemt.

Deze variant van het EPD functioneert alleen naar behoren als zorgverleners zorgvuldig omgaan

Er zijn uiteraard goede redenen te geven om bij gezinnen die met meerdere problemen kampen,

met hun toegangspas. Dat betekent bijvoorbeeld dat ze hun pas niet delen met een collega en na

gegevens tussen betrokken hulpverleners te delen. Maar is het de vraag hoe dat het beste kan wor-

ieder gebruik van het systeem direct weer uitloggen. Zo luidden ook de voorschriften. Maar het was

den georganiseerd. Koppeling van diverse gegevensbestanden mag uit efficiëntieoverwegingen

de vraag of die voorschriften in de praktijk zouden worden nageleefd. De zorgsector stond – en staat

aantrekkelijk lijken, maar maakt het systeem kwetsbaar voor ongeoorloofde toegang – vergelijk-

– immers bekend om zijn gebrekkige risicobewustzijn als het gaat om gegevensbescherming. In

baar met de bezwaren tegen het landelijk EPD. Wellicht kan ook bij informatieverzameling bin-

combinatie met het grote aantal toegangspassen dat in omloop zou komen, maakte dat het systeem

nen de jeugdzorg gebruik worden gemaakt van versleuteling van gegevens, waardoor bijvoorbeeld

vanuit veiligheidsoogpunt kwetsbaar. Zorgen hierover waren voor de Eerste Kamer een belangrijke

NAW-gegevens niet zomaar kunnen worden gekoppeld aan privacygevoelige data en gezinnen

reden om de plannen voor invoering van het landelijk EPD af te wijzen.

meer controle kunnen houden op wie toegang krijgt tot welke gegevens.

Een alternatief hiervoor vormt een decentrale opslag van medische gegevens, waarbij de patiënt de

Systeemvarianten

gegevens beheert. In deze optie waarborgt de technische inrichting van het systeem dat alleen die

Versterking van de positie van de burger vereist reflectie op de inrichting van ICT-systemen. In de

zorgverleners toegang krijgen tot gegevens die daarvoor expliciet toestemming hebben gekregen

ontwerpfase moet worden nagegaan welke doelen een systeem moet dienen, welke gegevens daar-

van de patiënt. Dit alternatief is door het ministerie van VWS echter nooit serieus overwogen. Ook

voor nodig zijn, hoe privacy- en veiligheidswaarborgen kunnen worden ingebouwd en welke mate

aan deze optie zullen ongetwijfeld haken en ogen zitten. Maar het valt op voorhand niet in te zien

van zeggenschap van burgers over hun gegevens wenselijk is.

164

Deze ontwerpeisen zullen niet altijd verenigbaar zijn. Zo kan gebruiksvriendelijkheid op gespannen voet staan met veiligheidsvereisten; kan versleuteling van gegevens moeilijk te verenigen zijn met het gebruik van die gegevens voor opsporingsdoeleinden; of kan het streven kindermishandeling te voorkomen leiden tot inperking van de controle van ouders op de uitwisseling van gegevens. Afhankelijk van de weging van de diverse ontwerpeisen en de precieze doelen die een systeem moet dienen, zullen andere systeemvarianten de voorkeur verdienen. Deze weging kan er overigens ook toe leiden dat het oorspronkelijke doel dat een systeem moet dienen nog eens kritisch tegen het licht wordt gehouden. De te maken keuzes zijn complex van aard, zowel technisch als maatschappelijk gezien. De discussie over de weging van ontwerpeisen en de meest geschikte systeemvariant vergt dan ook inbreng van zowel onafhankelijke ICT-experts als betrokken burgers, gebruikers en maatschappelijke organisaties. Maatschappelijke dialoog Versterking van de positie van burgers vereist dat ze betrokken worden in de discussie over de inrichting van ICT-systemen en de doelen die daarmee gediend zijn. Het gaat immers ook om hun belangen. De burger kan zowel indirect als direct in de discussie worden betrokken: door een dialoog aan te gaan met relevante maatschappelijke groeperingen, die een publiek perspectief op de zaak verwoorden; respectievelijk door de burger zelf aan het woord te laten. Met beide vormen heeft het Rathenau Instituut de afgelopen jaren goede ervaringen opgedaan. In 2009 heeft het Rathenau Instituut in samenwerking met de commissie voor Volksgezondheid, Welzijn en Sport/Jeugd en Gezin van de Eerste Kamer een expertmeeting georganiseerd over de kabinetsplannen voor invoering van het landelijk EPD. Behalve Eerste Kamerleden, namen aan deze bijeenkomst ruim twintig ICT-deskundigen, woordvoerders van medische beroepsgroepen en vertegenwoordigers van patiënten- en consumentenorganisaties deel. Het bijeenbrengen van deskundigheid op het gebied van ICT met een brede vertegenwoordiging van maatschappelijke belangen en opvattingen vormde een belangrijke voorwaarde voor een geslaagd debat. Zoals hierboven opgemerkt zijn beide nodig voor het maken van een doordachte weging van ontwerpeisen: zowel technische mogelijkheden en onmogelijkheden als maatschappelijke consequenties moeten hiervoor in ogenschouw worden genomen. Tijdens de bijeenkomst in de Eerste Kamer zijn tevens de resultaten gepresenteerd van een door het Rathenau Instituut en Veldkamp gehouden onderzoek naar opvattingen van burgers over het landelijk EPD. Door middel van focusgroepen is met 38 deelnemers gesproken over hun kennis van het EPD, de doelen die het EPD in hun ogen moet dienen en de mogelijke voor- en nadelen ervan. Focusgroepen zijn een kwalitatieve onderzoeksmethode die inzicht geeft in de diversiteit aan opvattingen onder burgers en in de achterliggende redenen en motivaties voor die opvattingen. De methode geeft daarmee dieper inzicht dan bijvoorbeeld een kwantitatieve publieksenquête.

166

“De menselijke factor is het grootste veiligheidsrisico.” Henri Lenferink, Burgemeester Leiden

Het zal niet verbazen dat kennis over het EPD van de deelnemers aan de focusgroepen beperkt was.

Bronnen

Dat valt bij een complex onderwerp als het EPD ook niet anders te verwachten. Tegelijkertijd waren de deelnemers wel degelijk in staat om aan te geven wat ze verwachten van het EPD, welke zorgen

J. ter Berg & Y. Schothorst (2010), Het EPD: opvattingen van burgers – Verslag van een focusgroe-

ze hebben en aan welke voorwaarden moet worden voldaan om die zorgen weg te nemen. De ge-

ponderzoek, Rathenau Instituut, Den Haag.

sprekken maakten duidelijk hoe gevoelig de toegang tot medische gegevens ligt en hoe belangrijk de beveiliging van gegevens is. Tevens maakten ze duidelijk dat veel deelnemers belang hechten

Ch. Van ’t Hof, R. van Est & F. Daemen (red.) (2010), Check in/check uit – De digitalisering van

aan het voeren van (een bepaalde mate van) regie over de eigen gegevens – en de mogelijkheden

de openbare ruimte, NAI Uitgevers & Rathenau Instituut, Rotterdam.

voor die regie doorslaggevend vinden voor hun vertrouwen in het EPD. Ch. Van ’t Hof, J. Timmer & R. van Est (red.) (2012), Voorgeprogrammeerd – Hoe internet ons Alleen door de dialoog aan te gaan met betrokken maatschappelijke groeperingen en door bur-

leven leidt, Rathenau Instituut & Boom Lemma Uitgevers, Den Haag.

gers een stem te geven, kunnen we erachter komen wat er in de samenleving leeft en aan welke voorwaarden de inrichting en het functioneren van ICT-systemen moeten voldoen om tegemoet

Commissie Brouwer (2009), Gewoon doen, beschermen van veiligheid en persoonlijke levenssfeer,

te komen aan de wensen en noden van de burger.

Rijksoverheid, Den Haag. Eerste Kamer (2009-2010a), Verslag van een rondetafelgesprek, Vergaderjaar 2009-2010, 31 466, F. A. Jacobi , M. Lund Jensen, L. Kool, G. Munnichs & A. Weber (2013), Security of eGovernment Systems – Final Report, Science and Technology Options Assessment, Europees Parlement. H. van Kempen & G. Munnichs (red.) (2010), Privacy, ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Den Haag. KING (2013), Eindadvies Verkenning Informatievoorziening Sociaal Domein (VISD), Den Haag. L. Kool, G. Munnichs & C. Boland (2013), Voer haalbaarheidstoets op ICT-projecten in, Het Bericht, Rathenau Instituut, 2013, nr. 6. G. Munnichs, M. Schuijff & M. Besters (red.) (2010), Databases – Over ICT-beloftes, informatiehonger en digitale autonomie, Rathenau Instituut, Den Haag. G. Munnichs & L. Kool (2013), De autonome burger in de informatiesamenleving – Hand-out inwerkprogramma tijdelijke commissie ICT-projecten bij de overheid, Rathenau Instituut, Den Haag. G. Munnichs & L. Kool (2013), De autonome burger in de informatiesamenleving – Aanvulling op hand-out inwerkprogramma tijdelijke commissie ICT-projecten bij de overheid, Rathenau Instituut, Den Haag. Nationale ombudsman (2009), De burger in de ketens. Verslag van de Nationale ombudsman over 2008, Nationale ombudsman, Den Haag.

168

169

arno nuijten mark van twist roel in ‘t veld ira helsloot

Deel 3:

Verdieping van het organisatieleren

katrien termeer

essays

11.

Informatieveiligheid: aandacht voor de dagelijkse dingen die er écht toe doen arno nuijten

Wetenschappelijk directeur ESAA IT-Audit & Advisory Erasmus Universiteit Rotterdam

mark van twist

Decaan en bestuurder van de Nederlandse School voor Openbaar Bestuur (NSOB)

Kleine fouten, grote gevolgen Het is 6 maart 1987. Iets na zeven uur ’s avonds kapseist de Herald of Free Enterprise vlak nadat deze de haven van Zeebrugge heeft verlaten met bestemming Dover. Onder de meest gunstige weersomstandigheden, met weinig wind en een gladde zee gaat het mis. Er wordt gevaren met strakke tijdschema’s. Daarop gaat rederij Townsend Thoresen prat. De lange duur van het laden en lossen in Zeebrugge verhogen de druk op het toch al krappe vaarschema. Het schip heeft reeds vertraging opgelopen en die probeert men in te lopen door de snelheid na vertrek onmiddellijk op te voeren. Hierdoor ontstaat een grote boeggolf die via de geopende boegdeuren het schip instroomt, met fatale gevolgen. De boegdeuren werden altijd al wat later gesloten om zo de overlast van uitlaatgassen van de vele vrachtauto’s en bussen aan boord wat te verminderen. Maar de boegdeuren blijven deze keer bij vergissing na vertrek open staan, iets wat op de brug niet bekend is. De direct verantwoordelijke assistent-bootsman is klaar met de onderhouds- en schoonmaakwerkzaamheden en doet een dutje. Hij had die nacht slecht geslapen. Hij had wel opgemerkt dat de boegdeuren open stonden, maar sluit ze niet. Hij voelt zich hiervoor niet verantwoordelijk. De eerste stuurman is eindverantwoordelijkheid voor de procedure. Hij heeft de assistent-bootsman zien lopen en gaat ervan uit dat deze op weg was om de deuren te sluiten.

173

Omdat hij niet is geïnformeerd over open boegdeuren, gaat de gezagvoerder ervan uit dat ze

hardlooppartner besloot zijn prestaties via de app met u te delen. U hoefde niet lang te denken

gesloten zijn. Hij kan zelf op de brug niet direct waarnemen of de deuren gesloten zijn; er is geen

om uw locatiegegevens met dit hardloopprogramma te delen. Natuurlijk begrijpt u dat die mail

indicator. De stuurman heeft bovendien twee cruciale veiligheidstaken op hetzelfde moment. Hij

over de erfenis van een onbekende kinderloze oudtante uit Costa Rica bedoeld is om u in de val

kan nu eenmaal niet beide taken tegelijk even goed uitvoeren binnen de krappe tijdschema’s.

te lokken en uw bankgegevens en uw geld te ontfutselen.

Uit onderzoek van de ramp blijkt achteraf dat de rederij zich niet verantwoordelijk voelde voor

Toch schrok u toen u iets te snel de link ‘xgvvvvfffzxxx’ had aangeklikt van een vertrouwde

de veiligheid aan boord. Wél had ze aanpassingen aan het schip laten doen die de snelheid van

afzender, waardoor uw hele kennissenkring uit uw naam een verwijzing naar een licht pikant

laden en lossen moesten verhogen. Hierdoor miste het schip op het fatale moment een laatste

getint filmpje kreeg toegestuurd. Ook voelde u zich erg ongemakkelijk toen op uw zakenreis de

veiligheidsklep die deze ramp alsnog had kunnen voorkomen.

spoed-reparateur van uw laptop u om uw wachtwoord vroeg. Natuurlijk: u kon het later weer aanpassen. Maar u realiseerde zich plotseling dat u her en der dit zelfde wachtwoord gebruikte.

Uit dit voorbeeld blijkt dat menselijk falen én de organisatorische inbedding daarvan een belang-

En toen u uw mobiel was verloren heeft u nachten slecht geslapen omdat een kwaadwillende

rijke rol spelen bij het ontstaan van rampen en ongevallen. De televisiebeelden van deze en vol-

vinder u in diskrediet zou kunnen brengen met de gegevens die daarop staan. ‘Hoe kon ik zo dom

gende rampen met bijvoorbeeld de Estonia en de Costa Concordia staan ons nog op het netvlies.

zijn’ dacht u nog. Ronduit geïrriteerd was u toen u zoemend geattendeerd werd op een persoonlijk

De breed uitgemeten beelden van de schuldigen ook. Kleine beslissingen over dagelijkse dingen

reclameberichtje over een te koop slaande sloep toen u toevallig twee weekends achter elkaar een

kunnen grote, zelfs rampzalige gevolgen hebben.

autoritje had gemaakt langs de jachthaven in de buurt.

Dwang der dagelijkse dingen

Deze voorbeelden van kleine dagelijkse dingen in het gebruik van informatietechnologie zijn

De rampen met veerboten als de Herald of Free Enterprise en meer recent de Estonia en de Costa

letterlijk ‘aan de orde van de dag’. Gelukkig zinken er niet direct veerboten door en halen ze

Concordia komen niet uit de lucht vallen. Volgens vaste schema’s worden op dergelijke schepen

doorgaans niet het journaal. Maar ze onttoveren wel ons vaak simplistische en enkelvoudige idee

dagelijks dezelfde routines uitgevoerd. In die routinematigheid van de dagelijkse dingen nemen

van ‘schuldige’ en ‘slachtoffer’ en het gevoel van veiligheid dat er met onze persoonlijke infor-

zelfs professionals met ruime ervaring soms kleine beslissingen die verkeerd uitvallen en die

matie geen gekke dingen kunnen gebeuren. Gelukkig liggen de écht belangrijke vraagstukken op

grote gevolgen kunnen hebben. De consequenties van deze kleine fouten worden vooraf niet

het gebied van informatieveiligheid in handen van professionals die daar dag in dag uit mee bezig

overzien. Het gaat namelijk ook meestal uiteindelijk wel goed, totdat het een keer ineens vrese-

zijn, denk je dan. Maar ja, de kapitein van de Costa Concordia was ook een ervaren professional

lijk mis gaat. Verbijstering en een vertwijfeld zoeken naar schuldigen zijn het gevolg. Dat geldt

en voer regelmatig vlak langs het Italiaanse eilandje Giglio. Totdat het mis ging…

voor de scheepvaart, maar is niet minder als het gaat om informatieveiligheid. Wachtwoorden & workarounds Informatietechnologie is steeds meer verweven geraakt met de dagelijkse dingen die we doen,

Bestuurders en organisaties leggen de operationele verantwoordelijkheid voor de veiligheid van

zowel in ons eigen werk dat wordt ondersteund door systeembeheerders, als in de controle daarop

ICT-systemen in handen van professionals die dag in dag uit met die materie bezig zijn. Maar de

door bijvoorbeeld IT-auditors. Routinematig checken we onze mail en het Facebook-nieuws van

ramp met de Herald of Free Enterprise laat zien dat ook professionals in de dagdagelijkse praktijk

de vertrouwde digitale kennissenkring. Haast in een reflex plaatsen we duimpjes en klikken we

kleine fouten kunnen maken met grote gevolgen. Niet door kwaadwillende opzet of gebrek aan

ingesloten linkjes aan. We accepteren steeds sneller en zonder peinzen de cookies die ons worden

kennis, maar juist doordat in de dagelijkse praktijk van de professional kleine routines, onop-

voorgehouden op de websites die we tegenkomen. De eerste keer dat we zo’n cookie tegenkomen

lettendheden en workarounds binnensluipen. Dergelijke kleine fouten en vormen van onveilig

is er wellicht nog enige twijfel en wordt deskundig advies van een beveiligingsexpert ingeroepen,

gedrag, blijken later een onmisbare schakel in de aanloop van een ramp of bijna-ramp, zoals

die ons vertelt ‘voorzichtig’ te zijn. Maar de terughoudendheid die zo ontstaat is onder invloed

onderstaand geïllustreerd.

van de druk die gepaard gaat met onze dagelijkse bezigheden aan slijtage onderhevig. In 2010 werden in Iran zeker 30.000 Windows systemen besmet door Stuxnet1, volgens sommiBijvoorbeeld: U bent enthousiast over een hardloop-programma op uw smartphone (met een al

ge deskundigen de meest geavanceerde en gevaarlijke malware ooit gebouwd. Ook PC’s die in

dan niet via de werkgever betaald abonnement), dat u motiveert om de noodzakelijke calorieën

nucleaire installaties draaien werden door Stuxnet aangetast. Stuxnet maakte gebruik van vier

te verbranden en uw progressie netjes voor u bijhoudt. U kon niet achterblijven toen uw digitale

ongepatchte kwetsbaarheden in Windows, zodat het ‘automatisch afspelen’ zelfs werkte als deze

174

175

optie in Windows was uitgeschakeld. De kwaadaardige code was tevens voorzien van gestolen certificaten, zodat de malware zich probleemloos op een Windows systeem kon nestelen. Ook werd een truc gebruikt waardoor Stuxnet onzichtbaar werd voor bestaande detectietools. Stuxnet werd aangestuurd door enkele command en control servers die in staat zijn om opdrachten te verzenden en output te ontvangen van andere computers, waardoor ze op afstand benaderbaar en bestuurbaar werd. Het werd Stuxnet makkelijk gemaakt, doordat standaard wachtwoorden van de software niet waren gewijzigd. Een aanpassing van wachtwoorden was achterwege gelaten omdat het kon leiden tot het vastlopen van kritische bedrijfssystemen. Stuxnet bleek in staat om hittedetectoren en andere meetmechanismen opnieuw te programmeren en daarmee industriële systemen, waaronder nucleaire installaties, aan te sturen. In 2012 meldde EenVandaag2 dat het bij diverse Nederlandse gemeenten en waterschappen mogelijk was om via internet de bediening van systemen als pompen, bruggen en gemalen over te nemen. De systemen zouden onvoldoende beveiligd zijn. In een reportage werd getoond hoe de gemalen van de gemeente Veere via internet waren te bedienen. Het achterliggende systeem had een eenvoudig te raden wachtwoord, de naam van de gemeente. De waterhuishouding in de poldergemeente zou hierdoor ernstig bedreigd kunnen worden. Volgens EenVandaag konden ook pompen in rioleringsbuizen en zelfs bruggen en sluizen ongeautoriseerd op afstand bediend worden vanwege onvoldoende beveiliging. Niet het werk van een grootse geest of een hyperintelligente hacker lag hier ten grondslag aan de onveiligheid van het systeem maar gemakzucht en slordigheden die alle ruimte kon krijgen onder druk van de dwang der dagelijkse dingen. In 2013 verscheen er in Nederland een lijst met kwetsbare ICS3 (Industrial Control Systems) die aan het internet zijn gekoppeld. Dit was een actie van een hacker als protest tegen een wetsvoorstel. Op de lijst stonden diverse ICS-systemen die kwetsbaar zijn of geen dan wel een standaard inlog voorziening gebruikten. Het wordt door fabrikanten van ICS doorgaans geadviseerd om een ICS niet rechtstreeks via internet benaderbaar te maken wanneer dit niet noodzakelijk is voor de werking van het systeem. Uit verschillende onderzoeken blijkt dat dat advies in de praktijk nog wel eens wordt genegeerd. De Britse onderzoeker Leverett ontdekte in 20114 een groot aantal ICS-systemen die via de standaard internet poort te bereiken waren, slechts 17 procent gaf direct aan dat authenticatie vereist werd. Hij ontdekte ook een systeem dat aan het internet was gekoppeld en zonder authenticatie volledig toegang gaf tot het beheerpanel dat voor het beheer van waterpompen kon worden gebruikt. Door andere beveiligingsinstellingen kon Leverett de beheerders van het systeem zelfs buitensluiten5. De beveiliging van kritische industriële systemen is in handen van ICT-professionals. Toch blijkt dat ook deze goed opgeleide mensen allerlei kleine fouten maken, zoals het gebruik van standaardwachtwoorden, het achterwege laten van authenticatie- instellingen, het toestaan van internetverbindingen. Net als bij de Herald of Free Enterprise kunnen kleine fouten van professionals

176

“Ieder kind blijvend veilig’ is onze leus. Maar hoe veilig is het kind als het kinddossier niet veilig is?” Erik Gerritsen, Bestuursvoorzitter Bureau Jeugdzorg Agglomeratie Amsterdam

grote gevolgen hebben. Deze professionals maken deze fouten niet met de opzet om beveili-

en de publiciteit die daarmee gepaard gaat. Denk aan profielen van (nieuwe) bestuurders die bij

gingsrisico’s te veroorzaken, maar zij hebben vaak de vorm van tijdelijke workarounds waarvan

wijze van lolletje worden aangepast, pensioenoverzichten die niet meer kloppen door digitaal

zij niet kunnen overzien welke consequenties dit eventueel later met zich mee kunnen brengen.

vandalisme, uitkeringen die niet of te laat worden betaald als gevolg van virussen, kinderbijslag

Veel ICS-systemen zijn 30 jaar oud en ontwikkeld in een tijd waarin nog niet alles met alles was

die naar andere rekeningen wordt doorgeleid via fraude, belastingaangiften die moedwillig wor-

verbonden via internet. Kleine fouten in het verleden kunnen grote consequenties hebben in de

den veranderd, cijfers van leerlingen die worden veranderd, patiëntgegevens die op straat komen

toekomst.

te liggen, fraude met OV kaarten, zeesluizen die op afstand worden opengezet, elektriciteit die uitvalt, treinen die op elkaar botsen, politieaangiften of rechterlijke uitspraken die worden aange-

Ook de beveiliging van gemeentelijke websites wordt in handen gelegd van ICT-professionals.

past, telefooncentrales die verstoord raken, meldkamers die onbereikbaar zijn. De vitale rol die

Deze ICT-professionals hebben veelal dag in dag uit een volle agenda met ICT-projecten, samen-

informatietechnologie speelt in de administratieve en technische processen bij de overheid levert

werking met buurgemeenten, testwerkzaamheden, systeeminstallaties, en uiteenlopende vragen

niet alleen een rijk arsenaal aan toepassingen van efficiencyverbetering, maar toont tegelijkertijd

voor urgente gebruikersondersteuning. In de overheveling van taken en verantwoordelijkheden

een even breed arsenaal aan doembeelden van incidenten en rampen die ons hardhandig confron-

naar gemeenten maakt de taak van de ICT-professional niet eenvoudiger. In de dagelijkse dingen

teert met de vitale kwetsbaarheid door dezelfde informatietechnologie.

maken deze ICT-professionals vele kleine beslissingen gebaseerd op snelle risico-inschattingen onder druk van de tijd. Ze doen dingen wél die ze achteraf eigenlijk beter niet hadden kunnen

In deze context gaat informatieveiligheid in essentie over de garanties voor vertrouwelijkheid,

doen, zoals tijdelijke workarounds implementeren. En ze doen dingen niet die ze achteraf eigen-

integriteit en beschikbaarheid van informatie en informatiestromen, zoals wij die met elkaar

lijk beter wel hadden kunnen doen. Zo verschijnt in 2013 in Computable6 een artikel met de kop

wenselijk achten. Maar welke garanties zijn er te bieden als informatietechnologie steeds meer

‘Gemeenten maken potje van websitebeveiliging’. Dit artikel belicht dat ‘bijna 20 procent van de

de grenzen laat vervagen tussen overheid en burgers, tussen werk en privé en de uiteenlopende

gemeenten kritisch kwetsbaar bleek door gebruik van verouderde software. ICT-beheerders van

en mogelijk strijdige belangen die daarbij moeten worden verenigd. Beveiliging gaat niet alleen

gemeenten voeren nieuwe updates niet of niet tijdig uit, waardoor systemen vaak maanden lang

over technologie en dataverzamelingen, maar steeds meer over de verwachtingen en het gedrag

onvoldoende beveiligd zijn’. Ook wordt geconstateerd dat ICT-beheerders bij gemeenten minder

dat de verschillende betrokkenen hebben over het kunnen benutten van informatie en de techno-

zorgvuldig omgaan met systemen die minder belangrijk worden gevonden. Daar blijven updates

logische mogelijkheden enerzijds en de grenzen aan de veiligheid die daarbij acceptabel worden

het meest achter. Maar hackers kunnen deze systemen juist gebruiken om beter beveiligde on-

geacht anderzijds. Het ingewikkelde daarbij is dat deze grenzen pas vorm krijgen onder de in-

derdelen aan te vallen.

vloed van incidenten die we in eerste aanzet eigenlijk liever hadden willen voorkomen.

Ook de ICT-professionals die moeten zorgen voor de veiligheid van onze informatie zijn mensen

Met de steeds verdergaande digitalisering is informatieveiligheid een steeds prominentere op-

en maken kleine fouten die grote gevolgen kunnen hebben. Hackers spelen in op dit soort kleine

gave voor burgers, voor het bedrijfsleven en voor overheden. Het gaat grotendeels om een ge-

menselijke foutjes die professionals onder tijdsdruk van alle dag maken. De vraag is dus of we

zamenlijk uitdaging die vooral vraagt om samenwerking bij het zoeken naar verwachtingen,

met een beschuldigende vinger wijzen naar professionals die menselijke fouten maken in de

grenzen en oplossingen. Informatieveiligheid is een complex en dynamisch vraagstuk door de

dagelijkse dingen of dat we het bestaan van deze menselijke fouten accepteren en beter proberen

voortschrijdende ontwikkelingen van technologie, dienstverlening, toezicht en criminaliteit. In-

te begrijpen hoe organisatorische omstandigheden deze onbewuste fouten kunnen aanwakkeren

formatieveiligheid is een extra complex vraagstuk doordat ‘veiligheid’ als zelfstandig concept al

of dempen.

‘omstreden’ is. Wat is veilig? En voor wie is ‘wat’ veilig? En ook, wat vraagt veiligheid van de toegankelijkheid van informatie?

Wij stellen in deze bijdrage voor om te kijken voorbij de schuldvraag van kleine menselijke fouten die worden gemaakt door professionals en op zoek te gaan naar achterliggende psycho-

Ook in de besluitvorming is informatieveiligheid een relatief begrip en slechts een van de vele

logische patronen.

aspecten die door de overheid moet worden afgewogen tegen risico, kosten en effecten op andere gebieden. Het is daarom ook niet logisch om de schuld en boete van een gebrek aan informatie-

Informatieveiligheid in perspectief

veiligheid en daaruit voortkomende kwesties in absolute zin meteen bij de overheid/het bestuur te

Gebrek aan informatieveiligheid kent vele verschijningsvormen in de praktijk van de overheid

leggen. De analogie gaat op met de automobilist die, al bellend en mailend, zijn alertheid als ver-

en reikt verder dan het, al dan niet met kwade bedoelingen, hacken van gemeentelijke websites

keersdeelnemer verliest en een schade veroorzaakt, Daarbij kan de eigen verantwoordelijkheid

178

179

niet zomaar worden afgeschoven op anderen. Er is ook nog zoiets als eigen verantwoordelijkheid

een verdere toename van de werkdruk door aanvullende rapportage en monitoring niet vanzelf-

en bovendien is zelfredzaamheid en veerkracht ook een prima uitgangspunt bij het doordenken

sprekend het gewenste ‘veilige’ gedrag uitlokt.

van kwesties over informatieveiligheid. Belastinggeld kan maar een maal worden uitgegeven: aan informatieveiligheid of aan andere opgaven en uitdagingen. Daarbij ligt het gevaar op de

Papier en praktijk van informatieveiligheid

loer van de redenering van het hellend vlak: dat is daar misgegaan, dat kan hier ook misgaan, dat

Waarom aandacht voor informatieveiligheid, juist in relatie tot de dagelijkse dingen? Overheden

willen we voorkomen en daar gaan we dus alles voor doen. Niet overal is geld voor, niet alles is

hebben het thema ‘informatieveiligheid’ toch al opgepakt? Ze doen verplicht aan risicomanage-

meteen een taak van de gemeente, eigen verantwoordelijkheid van mensen en aanvaarding van

ment. Het is ingebed in de bedrijfsvoering. Daar wordt de techniek getest, daar wordt gekeken

zeker risico (risk appetite).

naar de risico’s en daar worden protocollen toegepast en geaudit. Er is een baseline informatiebeveiliging, certificering, control modellen standaarden, assurance, governance, afhankelijkheids-

Als we onderkennen dat informatieveiligheid gediend is met ‘veilig gedrag’ van mensen die in

en kwetsbaarheidsanalyses.

de operationele dagelijkse praktijk de handelingen verrichten (en die dus bedoeld of onbedoeld ‘uit de bocht kunnen vliegen’) , wordt het interessant hoe we op symptomen van onveilig gedrag

In ons gangbare denken wordt informatieveiligheid veelal gezien als een probleem dat vooral

‘op de werkvloer’ reageren. De neiging bestaat om als reflex daarop meer toezicht (monitoring,

planmatig, procedureel en instrumenteel moet worden opgepakt: de doelen en beleidsuitgangs-

audits) in te richten, meer veiligheidswaarborgen, hindernissen en obstakels op te werpen met als

punten worden beschreven, gaten en kieren dienen in kaart gebracht te worden en dwingende

doel om het lastiger te maken het ongewenste ‘onveilige’ gedrag te gaan vertonen. Het is zeer de

procedures en toezicht dienen naleving af te dwingen. Door middel van een mechanisme van

vraag welk effect met dergelijke interventies wordt gesorteerd. Ogenschijnlijk hebben we daar-

planning en verantwoording wordt de beheersing ingericht en lijken we de boel onder controle

mee het gedrag beter in de grip, maar de praktijk kan laten zien dat dat op de werkvloer vooral in

te hebben totdat we worden verrast door de alledaagse werkelijkheid. Mensen doen dingen die

de dagdagelijkse praktijk kan uitlokken tot het ontwikkelen van handige ‘workarounds’: mensen

we niet bedacht hadden. Zeker onder invloed van nieuwe informatietechnologie die ‘alles met

die alle veiligheidsprocedures maar ongemakkelijk vinden en daarom allerlei slimmigheden ver-

alles’ verbindt ontstaan sneeuwbaleffecten door menselijk gedrag welke situaties ontketenen die

zinnen om het veiligheidssysteem te ondermijnen: even meekijken met elkaar, passen uitlenen,

onder ‘normale’ omstandigheden ondenkbaar waren en dus ook niet op voorhand bedacht waren

wachtwoorden doorgeven.

bij de samenstelling van het assortiment van maatregelen om beveiligingsrisico’s te ‘mitigeren’.

Wat echt nodig is: erkenning dat informatieveiligheid voorbij de onschuld toch vaak om klei-

Wij zijn van mening dat bij dergelijke incidenten te gemakkelijk voorbij gegaan wordt aan de

ne menselijke fouten gaat, waar dan overigens wel weer systematische gedragspatronen achter

realiteit dat mensen, hoe goed opgeleid dan ook en hoe goedwillend dan ook, nu eenmaal keuzes

schuil gaan. Systeembeheerders die vanwege gebruikersgemak nonchalant omgaan met spelre-

kunnen maken in de dagelijkse dingen die desastreuze gevolgen kunnen hebben. Als we de com-

gels, of die worden opgeslokt door het blussen van brandjes in plaats van tijd vrij te maken voor

plexe omstandigheden waarin ‘uitvoerenden’ hun dagelijkse dingen doen buiten beschouwing

structurele verbeteringen, medewerkers die andere dingen aan hun hoofd hebben, bestuurders die

laten, kunnen organisatorische processen en procedures gericht op veiligheid ons een vals gevoel

prioriteiten elders leggen, et cetera. Zaken die wel te voorkomen zijn met regels en richtlijnen:

van zekerheid geven. Rationeel en technisch gezien lijken we de goede bestuurlijke en organi-

dichtzetten van netwerk voor virussen, hackers, et cetera. Maar dan weer ongemak oproepen

satorische maatregelen te treffen, maar toch worden we overvallen door incidenten die zich in

bij medewerkers die even snel een programma willen downloaden en die aan innovatie op de

de operationele praktijk van alledag kunnen voltrekken: niet als regel, maar als een onvoorziene

werkplek doen. Tijd- en plaats en apparaat onafhankelijk werken maakt het makkelijker infor-

samenloop van handelingen door individuele personen die als geheel een forse kras oplevert op

matie te ontsluiten. Dat is alleen niet zonder risico. Informatieveiligheid is meer dan techniek en

het blazoen van de overheid. De gedachte dat er sprake is van moedwillig gedrag en dus eendui-

procedures, het kan niet losgezien worden van het gedrag in de dagelijkse praktijk dat daarmee

dige schuld bij de ‘veroorzaker’ gaat voorbij aan de complexiteit van de dagelijkse operationele

gepaard gaat die deze techniek en procedures ‘levend’ maakt en daarmee ook de ruimte geeft

praktijk waarbinnen mensen hun werkzaamheden verrichten, waar tijdsdruk heerst en het over-

aan onvolkomenheden van het menselijk handelen. De eerder genoemde systeembeheerders bij

zicht ontbreekt op ‘het geheel’. Informatietechnologie is een enabler tot informatiedeling tussen

gemeenten zullen niet moedwillig achter lopen met systeemupdates met als doel om beveili-

overheden en burger. Onder invloed van diezelfde technologie kunnen haast onbeduidend kleine

gingslekken te veroorzaken. Wellicht is dit juist een symptoom van de werkdruk, prioriteiten en

foutjes in de operationele overheidspraktijk leiden tot een onbedoelde en razendsnelle kettingre-

beleidsbeslissingen waar zij mee te maken hebben in hun dagelijkse praktijk. Het aanwijzen van

actie met immense gevolgen. En daar waar in toenemende mate operationele handelingen in de

systeembeheerders als ‘schuldigen’ in zo’n situatie lijkt daarbij niet de oplossing, evenmin als

handen van burgers wordt gelegd, ligt bij de overheid de uitdaging om dit in veilige banen te

180

181

“Iedereen denkt bij informatieveiligheid dat het alleen maar over ICT en bedrijfsvoering gaat, maar het is veel meer dan dat, ook bij de provincies. Denk aan op afstand bediende bruggen en verkeerslichten, aan sluizen en tunnels. Dat zit allemaal tjokvol ICT, als daar iets verkeerd mee gaat staat het verkeer in de halve provincie vast.” Gea van Craaikamp, Provinciesecretaris Noord-Holland

leiden, zonder dat mensen die de handelingen verrichten persé kundig en inzicht hebben in mo-

Op enkele bekende heuristieken en biases zullen we later in gaan. Op deze plaats volstaat te vermel-

gelijke consequenties van hun beslissingen.

den dat zij niet genegeerd noch uitgebannen mogen worden in onze zienswijze op informatieveiligheid. Zij vervullen een sleutelrol in ons onveilig gedrag, maar ook in ons vermogen om te leren. Zij

De bestuurlijke praktijk brengt met zich mee dat kaders en instrumenten worden aangedragen

zijn zowel onvermijdelijk als onmisbaar dus. De evolutionair bioloog Robert Trivers schrijft in zijn

voor de mensen die de operationele werkzaamheden uitvoeren en tegelijkertijd wordt de beeld-

boek ‘The Folly of Fools’8 dat het hier niet om ‘weeffouten’ gaat, maar dat deze biases zich in de

vorming over het bestuurlijk presteren bepaald door incidenten voorvloeiend uit operationele

evolutie van ons brein zorgvuldig hebben ontwikkeld en cruciaal zijn gebleken om te overleven. Hoe

acties die zo niet waren bedoeld en niet waren voorzien. De neiging om op beveiligingsinci-

beter wij onszelf voor de gek kunnen houden hoe beter wij in staat zijn om onze vijand of concurrent

denten te reageren met aangescherpte procedures en processen gaat voorbij aan de kern van het

te misleiden op momenten dat het ertoe doet.

probleem: in de toenemende operationele complexiteit van dagelijkse dingen kunnen mensen niet worden geacht altijd rationele beslissingen te nemen en de consequenties van hun beslissingen

Onveilig gedrag is dus niet alleen onvermijdelijk omdat het onbewust veroorzaakt wordt door onze

te overzien.

heuristieken en biases, het onveilige gedrag is op zichzelf ook nuttig, onmisbaar zelfs. Het misleidende vanzelfsprekende gevoel van veiligheid in de dagelijkse dingen die we doen, creëert de ruimte om

Zelfoverschatting: onvermijdelijk én onmisbaar

stapje voor stapje de grenzen in het eigen handelen te verleggen, totdat die grenzen zich hardhandig

Uit onderzoek van Wagenaar naar de eerder aangehaalde veerbootramp met de Herald of Free

aandienen. De veiligheid van de hedendaagse auto – met schijfremmen, ABS, hoofdsteunen, tot in-

Enterprise en andere rampen blijkt dat de menselijke fout een haast onmisbare schakel is bij het

telligente snelheidsaanpassing - kon nooit honderd jaar geleden zijn bedacht aan de tekentafel, maar

ontstaan van ongelukken. Daarbij is kenmerkend dat zo’n ongeluk meestal een voorgeschiedenis

is het resultaat van een ontwikkeling waarin autogebruikers hun gedrag en verwachtingen stapje voor

heeft van ‘onveilig gedrag’ dat zich in de loop der tijd sluipenderwijs ontwikkelde in de dagelijk-

stapje laten opschuiven in het dagelijks routinematig gebruik van hun auto. Door de toegenomen

se dingen die mensen doen. Denk daarbij maar aan het iets later, maar wel op tijd, sluiten van de

veiligheidsrisico’s in hun gedrag ontstaat de behoefte aan weer een volgende stap in de veiligheids-

boegdeuren om de hinder van uitlaatgassen te verminderen. In ons dagelijkse gebruik van infor-

voorzieningen. Ook het vraagstuk van informatieveiligheid maakt ons inziens onderdeel uit van een

matietechnologie sluipen op identieke wijze de gewoonte om ons onveilig te gedragen. Soms te-

dergelijk proces dat zich ontvouwt in de tijd. Informatieveiligheid is daarmee een relatief begrip en

gen beter weten toch even de email raadplegen achter het stuur van de auto. Kenmerkend van dit

zowel oorzaak als gevolg van het gedrag en de risico’s die zich in de praktijk van alledag manifeste-

onveilig gedrag is dat mensen de consequenties ervan lange tijd niet aan den lijve ondervinden:

ren en die zich ontwikkelen in de loop der tijd. Onveilig gedrag is van nut voor de ‘evolutie’ van de

het gaat altijd goed. Onze beveiligers hebben processen en procedures uitgedacht die de bekende

informatieveiligheid.

vormen van ‘onveilig gedrag’ ontmoedigen. Maar door een samenloop van omstandigheden gaat het toch zo nu en dan ernstig fout en zien we dit onveilige gedrag plotseling als menselijk falen.

Bestuurlijk gezien is het begrijpen (niet perse ook: bestrijden) van ‘onveilig gedrag’ dus cruciaal. Liefst vóórdat dit gedrag resulteert in het soort rampen of incidenten dat ons hardhandig en onver-

Onveilig gedrag sluipt er in en wordt volgens Wagenaar voorafgegaan door psychologische facto-

wacht met de neus op de feiten drukt dat onze modellen, procedures en instrumenten voor informatie-

ren die ons dat extra zetje geven en dit onveilig gedrag voor ons zelf legitiem maken: tijdsdruk, zelf-

veiligheid ons tot dan toe een vals gevoel van zekerheid hadden verschaft.

7

overschatting, uitdaging, aanmoediging, verveling, competitie, het gaat altijd goed. Deze psychologische factoren geven ons in de dagelijkse dingen keer op keer weer een zetje. Het gaat telkens

Een beter begrip van heuristieken en biases helpt ons ook om te zien hoe organisatorische omstan-

goed totdat het een keer fout gaat: zo leren wij lopen, fietsen en autorijden. En zo ontstaat overigens

digheden hierop van invloed waren. In het geval van Herald of Free Enterprise bestonden deze or-

ook vooruitgang, precies onder invloed van menselijk falen. Rampen lijken dus onvermijdelijk als

ganisatorische omstandigheden bijvoorbeeld uit de ‘van bovenaf’ opgelegde druk om aan een haast

fatale samenloop van omstandigheden waarin er ergens mensen zijn die op het verkeerde moment

onhaalbare tijdschema te voldoen. Procedures stonden in dienst van snelheid en efficiency. In termen

op de verkeerde plek onveilig gedrag vertonen, zonder dat zij zich bewust zijn dat zij daarmee een

van Wagenaar bevatten veel organisaties ‘latente fouten’ als bijwerking van dergelijke beleidsbeslis-

onmisbare schakel zijn in het voltrekken van die ramp, hoe schijnbaar onbeduidend hun rol daarin

singen, structuren, procedures waarvan de consequenties terecht komen ‘op de werkvloer’. Zij wer-

ook leek te zijn. De psychologische factoren, heuristieken en biases genoemd, zijn onmisbaar om

ken menselijke fouten in de hand in de kleine keuzes die mensen maken in de dagelijkse dingen.

zonder na te denken onze auto te besturen in het drukke verkeer van alle dag en alert te zijn. Maar

184

die zelfde heuristieken en biases kunnen ons op het verkeerde been zetten, uitnodigen tot onveilige

Er is nog een wereld te winnen als we ‘foute keuzes’ op de complexe werkvloer van de infor-

gedrag en het maken van kleine fouten in de dagelijkse dingen die wij doen.

matieveiligheid als realiteit accepteren en beter begrijpen hoe deze het gevolg kunnen zijn van,

185

door ons zelf gecreëerde, omstandigheden in termen van regels, processen, procedures, beleidsbeslissingen en tijdsdruk waaraan mensen worden blootgesteld en hoe zij daar op reageren. Foute keuzes zijn geen toeval en zijn niet willekeurig: zij zijn inherent aan hoe ons brein onbewust reageert op omstandigheden en zij blijken door (gecreëerde) omstandigheden te kunnen worden

“We moeten de

naïviteit voorbij. Met de huidige communicatiemiddelen zijn er steeds meer achterdeurtjes.” Maarten Schurink, Gemeentesecretaris Utrecht

‘uitgelokt’ en zich aan te dienen met bijbehorende symptomen. De kennis over de onbewuste mechanismen die ons dagelijkse waarnemingen vormen en vervormen en die kunnen leiden tot onveilig gedrag bij de operationele dagelijkse dingen, kan ons helpen om dat gedrag eerder te signaleren en zelfs mogelijk subtiel te beïnvloeden in de gewenste richting, zonder zich als bestuurders te mengen in de operationele beslissingen. Het helpt ons ook om te herkennen waar in de organisatorische inbedding van processen en procedures een fout-genererend vermogen verborgen zit. Hoe dagelijkse dingen met ons op de loop gaan Naar welke psychologische patronen moeten we nu zoeken als we voorbij de schuldvraag op zoek gaan naar een verklaring voor kleine, menselijke fouten die in ons gedrag sluipen en die uiteindelijk rampzalige gevolgen kunnen hebben, ook als het gaat om informatieveiligheid? In de manier waarop we beslissingen nemen zijn twee uiteenlopende systemen te onderkennen, zegt Kahneman in zijn prachtige boek ‘Thinking fast and slow’9. Wij veronderstellen in onze traditionele denken graag dat mensen rationeel handelen. Rationeel handelen veronderstelt dat we bewust en zorgvuldig een afweging maken tussen opties en de consequenties daarvan tegen elkaar afwegen. Het maken van een kosten-batenanalyse om de beste optie te selecteren is een typisch voorbeeld van een dergelijk proces. Voor dergelijke beslissingen gebruiken wij het analytische deel van ons brein, door Kahneman aangeduid als ‘systeem 2’ ofwel ons ‘analytisch systeem’. Gebruik van ons analytisch systeem kost tijd en inspanning en helpt ons bij het oplossen en uiteenrafelen van problemen en beredeneren van de juiste keuzes als die tijd er is en alle informatie er is. Omdat we niet bij alle dagelijkse dingen die we doen uitgebreid kunnen nadenken, kunnen we gelukkig gebruik maken van ons ervaringssysteem, door Kahneman aangeduid als Systeem 1. Dit ervaringssysteem helpt ons om in één oogopslag iemands gezicht te herkennen en helpt ons om de ‘dagelijkse dingen’ te doen in complexe situaties, gebruik makend van onze aangeleerde vaardigheden, ervaringen, percepties, heuristieken en gewoontes. Systeem 1 stelt ons in staat om in de dagelijkse operationele praktijk de goede dingen te doen, en wordt gekenmerkt door snelheid van beslissen en handelen en het snel filteren van relevante informatie die nodig is om dit te kunnen doen. Dit stelt ons bijvoorbeeld in staat om dag in dag uit deel te nemen aan het drukke en dynamische verkeer. Systeem 2 heeft ook nog als taak om ons te behoeden voor al te impulsief reageren op basis van systeem 1. Maar als we beslissingen onder tijdsdruk moeten nemen of als de omstandigheden te

187

complex zijn, kan het trage systeem 2 het niet bijbenen. We zijn dan overgeleverd aan ons erva-

Een ander bekend voorbeeld van een ‘bias’ is de ‘illusion of control’11, ofwel een soort van

ringssysteem met de bijbehorende ingebouwde ‘fouten’ die ons op het verkeerde been kunnen

schijnzekerheid. Daarbij hebben wij het gevoel dat we een hogere mate van controle hebben over

zetten. Dit zelfde geldt ook als systeem 2 wordt onderdrukt door iets teveel glazen witte wijn.

een situatie dan dat we feitelijk hebben. Ons ervaringssysteem heeft de automatische neiging om patronen in informatie te ontdekken (representativeness heuristiek) ook al is er geen patroon. Als

Systeem 1 is dus onmisbaar om de dagelijkse dingen te kunnen doen (bijvoorbeeld deel te nemen

u langere tijd luistert naar ruis op de radio, dan hoort u na verloop van tijd vanzelf een patroon

aan het drukke verkeer). Maar bij diezelfde routinematige ‘dagelijkse dingen’ schakelt systeem

in die ruis: ons overijverige waarnemingssysteem houdt ons voor de gek. Daar komt bij dat wij

1 op de ‘automatische piloot’ en kan juist de oorzaak zijn van ongelukken omdat ze onze waar-

nu dit niet-bestaande patroon blijven horen hetgeen ons de indruk geeft dat we weten hoe dit

neming kan vervormen: ‘ik rijd hier dagelijks en uit deze zijstraat komt nooit een auto’. Omdat

patroon zich gaat voortzetten en zelfs de illusie geeft dat we er invloed op kunnen uitoefenen. Er

we ons veilig waanden schakelden we op de automatische piloot en daardoor onveilig gedrag

zijn vele factoren van invloed op het gevoel van controle die mensen hebben in een situatie. Zo

vertonen. Uit psychologisch onderzoek is de afgelopen decennia veel bekend geworden over

wordt dit gevoel van controle subtiel maar effectief beïnvloed door informatie over de gewenste

vervormingen (‘biases’) in de wijze waarop ons ervaringssysteem onze waarnemingen filtert en

uitkomst of over successen in het verleden en is het subtiel te manipuleren door informatie in een

vervormt en onbewust onze dagelijkse beslissingen beïnvloedt.

vertrouwde lay-out te presenteren. Ook de zichtbare aanwezigheid van allerlei ‘controls’ brengt met zich mee dat betrokkenen de perceptie hebben meer controle over de situatie te hebben. En

Onze instrumenten op het vlak van informatieveiligheid zijn hoofdzakelijk gericht op het beïn-

het interessante is dat mensen geneigd zijn om in zo’n situatie meer risico’s te gaan nemen en

vloeden van systeem 2 en vertellen ons duidelijk wat gewenst (rationeel) gedrag en wat onge-

mogelijk zelfs roekeloos gedrag te gaan vertonen. Dus naarmate we ons veiliger voelen gaan we

wenst gedrag is. Maar in de dagelijkse hectiek werken we volgens systeem 1: biases vervormen

ons minder veilig gedragen.

onze waarneming van de dagelijkse risico’s en we creëren ongemerkt ‘workarounds’ voor ons zelf: we loggen niet uit als we even weglopen, we doen tijdelijke aanpassingen die we vergeten

Ook maakt systeem 1 ons uitermate gevoelig voor het gedrag van anderen waarmee we ons asso-

op te ruimen et cetera. Kleine beslissingen, met mogelijk grote gevolgen – als het gaat om pro-

ciëren. Onze persoonlijke norm voor ‘veilig gedrag’ ontlenen we meer aan wat we anderen zien

gramma’s afsluiten, tijdelijke aanpassingen opruimen, wachtwoorden wijzigen, updates uitstel-

doen, dan aan de regels en voorschriften die ons zijn voorgehouden. Ondanks het verkeersbord

len, foutmeldingen maar even wegdrukken, etc.

met een duidelijke ‘50’ erop, wint het gedrag ‘van anderen’ als blikvanger voor onze aandacht en beïnvloed ons eigen gedrag in hoge mate (sociale normen). Als iedereen hier net boven de 55

Een bekende ‘bias’ van ons ervaringssysteem is ‘cognitieve dissonantie’, ook wel aangeduid als

rijdt, doe ik het ook. Toch was niemand van deze medeweggebruikers van plan uw boetes voor u

zelfbevestiging10. Je aandacht wordt opgeslokt door datgene dat je verwacht te zien en dat dus

te betalen. Ditzelfde mechanisme is er de oorzaak van dat alle regels van informatiebeveiliging

bevestigt wat je van tevoren al dacht of vermoedde. Dat is geen moedwillige actie, maar ons

teniet worden gedaan als een leidinggevende of anderen dit niet als norm blijken te hanteren in

ervaringssysteem maakt ons juist gevoelig voor signalen die eerdere ervaringen, indrukken of

hun dagelijks handelen.

vooroordelen bevestigen en onderstrepen. Daarentegen zijn we juist minder gevoelig voor signalen die daarvan afwijken. Ons waarnemingssysteem wordt beïnvloed door onze eerdere keuzes

Als laatste voorbeeld van een bekende ‘bias’ noemen we hier de ‘availability heuristiek’. Onze

en verwachtingen. Psychologische experimenten laten zien dat mensen eerst een (voorlopige)

waarneming wordt beïnvloed door gebeurtenissen waar we ons gemakkelijk een beeld bij kunnen

beslissing nemen en dan gevoelig zijn voor de informatie die daarbij past. In een rationeel be-

vormen. Die als het ware makkelijk toegankelijk zijn voor systeem 1. We hebben de neiging om

slissingsproces zouden we juist eerst alle relevante informatie vergaren en wegen om vervolgens

dergelijke ‘gemakkelijk op te roepen’ herinneringen een grotere kans toe te dichten dat ze ons

een verstandige beslissing te nemen. We zijn minder rationeel dan we denken. Ons waarnemings-

overkomen. Het beeld van een gekapseisde veerboot hecht zich makkelijk in ons geheugen. Maar

systeem is dus sterk onderhevig aan onze eerdere ervaringen en beslissingen. Dit mechanisme

hoe ziet een beveiligingslek in een besturingssysteem eruit? Door dit mechanisme dichten we

verklaart waarom we de uitzondering op de regel over het hoofd zien.

een lage kans van optreden toe aan gebeurtenissen waar we ons moeilijker een beeld bij kunnen vormen.

Internetcriminelen maken al lang gebruik van dit mechanisme door bijvoorbeeld de website van uw bank na te bootsen. En door zich te verplaatsen in de ervaring van ICT-beheerders lukt het

Ongemakkelijke lessen: de weging van waarschuwingen

hen om deze op het verkeerde been te zetten in de dagelijkse dingen en zichzelf zo ongemerkt

Gelukkig zijn er collega’s, professionals en managers, die ons kunnen wijzen op onveilig gedrag,

toegang te verschaffen.

zou u nu kunnen tegenwerpen. Denk aan de bestuurder van een auto die een bijrijder heeft om

188

189

hem of haar te attenderen op roekeloos rijgedrag. Op het gebied van informatieveiligheid zijn er

De manager die zich daarvan bewust is zorgt ervoor te worden omringd met mensen in voldoende

vele van dit soort ‘bijrijders’, die een oogje in het zeil houden en die waarschuwingen afgeven.

diversiteit en nodigt uit tot open en kritische inbreng. Stel u op als strategisch partner, niet van

Als aanvullende zekerheid geven bijvoorbeeld ICT-auditors risicowaarschuwingen af, bedoeld

de reis maar van het doel van de reis, en durf op een positieve manier en onbevangen vragen te

om ervoor te zorgen dat de organisatie rationeler en doordachter met informatieveiligheid om-

stellen.

gaat. Maar de praktijk leert dat ook hier systeem 1 roet in het eten kan gooien. We hebben ons impliciet beeld gevormd van de boodschapper van die waarschuwing, op basis van vooroordelen

Een derde les uit dit onderzoek heeft te maken met het gevoel van veiligheid dat wordt gecre-

of eerdere ervaringen. En ook dit beeld vervormt onze waarneming en dus ook onze reactie op de

ëerd om met plannen, procedures, rapportages en controles de complexe werkelijkheid van de

risico-waarschuwingen die we ontvangen. Het maakt bijvoorbeeld een groot verschil of we deze

ICT onder controle te krijgen en te houden. Durf verder te kijken dan de kilometerteller op het

boodschapper zien als ‘tegenstander’ die met het vingertje wijst op je fouten of juist als ‘partner’

dashboard. Durf vanuit het gewenste doel vragen te stellen over de beslissingen voorbij de regels,

die ons behulpzaam is12.

procedures en baselines voor informatieveiligheid.

Berichten van iemand die wij zien als ‘tegenstander’ (ook omschreven als ‘politieman’) worden

Informatieveiligheid op de automatische piloot: nadenken over ‘nudging’13

makkelijker terzijde geschoven dan wanneer de boodschapper wordt omschreven als ‘partner’.

Kennis van de gedragspsychologie verrijkt de manier waarop we kijken naar informatieveilig-

Sterker nog: als wij de boodschapper van een risico-waarschuwing zien als ‘tegenstander’ prikkelt

heid. Het laat zien dat er onbewuste mechanismen werkzaam zijn in de kleine beslissingen die

dit om te volharden in het onveilige gedrag dat aan de kaak wordt gesteld. De gangbare neiging om

wij dag in dag uit op de ‘automatische piloot‘ nemen. Deze mechanismen worden gevoed door

veilig gedrag af te dwingen met streng toezicht, wakkert de reactie aan (in systeem 1) bij mensen

onze ervaringen en kunnen stapje voor stapje leiden tot onveilig gedrag en fouten die grote ge-

om zich juist onveiliger te gaan gedragen.

volgen kunnen hebben.

Er zijn enkele ongemakkelijke, maar ook onvermijdelijke en cruciale lessen te trekken uit onze

De kennis over de mechanismen kan ons helpen om symptomen te herkennen die met onveilig

korte gang langs de ‘biases’ en heuristieken die we tegenkomen rondom informatieveiligheid.

gedrag samenhangen.

Allereerst valt op dat onze traditionele instrumenten en interventies gericht zijn op het analytische

Het past in de ontwikkeling van een groeiend besef dat de rationele besluitvormingsmodellen

‘Systeem 2’. Regels, voorschriften, procedures zijn er op gericht om gedrag te sturen via systeem 2

tekort schieten om menselijk gedrag te verklaren (en te veranderen). Door ook inzichten uit

afwegingen. Maar we constateren tevens dat dergelijke instrumenten onbedoeld averechts kunnen

de gedragspsychologie toe te passen op beleidsinterventies, kunnen de beoogde effecten ervan

uitpakken en juist prikkelen tot onveilig gedrag, vanwege het onbedoeld aanwakkeren van biases

vergroot worden. Deels door het opnieuw doordenken van klassieke interventies maar ook deels

(systeem 1) zoals beschreven. De onbedoelde neveneffecten van onze instrumenten en interventies

door aandacht voor het zogenoemde ‘nudging’14.

kunnen nog eens verder worden aangewakkerd als er sprake is van ambiguïteit, tijdsdruk en onzekerheid waaronder mensen hun beslissingen moeten noemen bij de dagelijkse dingen.

Met nudging wordt ingespeeld op onbewuste gedragsprocessen waardoor mensen worden verleid, uitgenodigd of in staat gesteld om gedrag te vertonen wat vanuit publiek belang het meest

De tweede les uit dit onderzoek heeft te maken met de inzet van mensen die ‘de boel onder controle

wenselijk is. Nudging is te omschrijven als het geven van een ‘duwtje in de goede richting’,

hebben’. Op de meest complexe ICT-vraagstukken zetten we de mensen met de meeste ervaring.

zonder dat er sprake is van dwang of het uitsluiten van alternatieven. Middels nudging kan rich-

Zeker de zwaargewichten die al vaak met dit bijltje gehakt hebben komen in beeld. Hun ervaring

ting worden gegeven aan de beslissingen van mensen op een wijze die niet door het klassieke

neemt hen bij de hand en zij verzamelen vaak de mensen om zich heen met wie zij in het verleden

interventie-instrumentarium wordt gedekt.

succesvol waren. Maar juist die zelfde ervaring kan hen voor de gek houden en belemmeren dat waarschuwingssignalen worden opgemerkt. Via de beschreven mechanismen houdt onze ervarings-

Nudging kan worden gezien als een alternatief voor traditionele instrumenten en interventies

systeem ons gevangen om alsmaar door te blijven gaan op een ingeslagen weg, die uiteindelijk kan

gericht op de beheersing en besturing van organisaties. Het is een manier van interveniëren die

resulteren in een fiasco dat had kunnen worden voorkomen als er eerder was bijgestuurd of verlies

niet zozeer gericht is op het rationele, maar rekening houdt met de psychologische, affectieve

was genomen. Uiteindelijk resteert onbegrip hoe het zover heeft kunnen komen en waarom over-

dimensies van gedrag en gedeeltelijk via het onderbewustzijn werkt.15 Beïnvloeding door middel

duidelijke waarschuwingssignalen zijn genegeerd.

van nudges werkt door rekening te houden met, veelal automatische, psychologische processen

192

193

die van invloed zijn op gedrag. Bepaalde keuzes kunnen aantrekkelijker en waarschijnlijker ge-

vervangen door uitdagingen die onbewust het gewenste gedrag uitlokken. Maak er een spelletje

maakt worden door bijvoorbeeld in te spelen op de aandacht, associaties en interpretaties van

(gamification) van met een simpel en duidelijk doel, waardoor mensen zich onbewust zo gaan

mensen, zonder dat andere keuzes uitgesloten of bestraft worden. Andersom kunnen bepaalde

gedragen zoals je bedoelde (zoals de vlieg in de urinoirs en de afval-basket bij stoplichten).

gedragingen ook onaantrekkelijker en onwaarschijnlijker gemaakt worden. Nudges beïnvloeden gedrag niet op een rationele (top-down) manier, maar door in te spelen op onbewuste processen,

De availability heuristiek waaraan we onderhevig zijn kan worden geprikkeld door middel van

intrinsieke motivatie en heuristieken. Nudging omvat een meer subtiel spectrum van interventies

simulatie en visuele cases waardoor mensen gevoeliger gemaakt worden voor de mogelijke con-

waarmee wordt ingespeeld op grotendeels onbewuste en irrationele keuzeprocessen.

sequenties van hun gedrag en de kans dat het fout gaat waardoor ze meer op hun tellen passen.

Nudging is sturing op gedragsverandering via de associaties, perspectieven en beleving van men-

Door het positief ‘framen’ van informatieveiligheid in termen van winnen in plaats van verliezen

sen. Hoewel deze processen ‘van binnen’ plaatsvinden, is de omgeving van mensen hierop van

wordt uitgelokt tot voorzichtiger gedrag. Door in de berichtgeving en door middel van gamifi-

grote invloed. Onbewust interpreteren mensen continu de feedback die zij vanuit hun omgeving

cation de aandacht te vestigen op de positieve en aantrekkelijke kanten van informatieveiligheid

ontvangen. Gedrag is meer dan het resultaat van een kosten- en batenafweging en wordt in be-

zijn mensen onbewust in hogere mate geneigd om zich te conformeren aan het gewenste veilige

langrijke mate beïnvloed door factoren als sociale normen, zelfvertrouwen en associaties.

gedrag.

Sociale normen, zelfvertrouwen en de associaties met het gedrag zijn geen vaststaande gegevens,

Ook het gebruik van sociale normen kan een krachtig instrument zijn om bij te dragen tot veilig

maar zijn afhankelijk van interpretaties die steeds bijgesteld worden op basis van informatie uit

gedrag. Presenteer benchmarks waarin geconstateerd/gemeten veilig gedrag tot uitdrukking komt

de omgeving. Nudging is een manier om deze informatie op een andere manier te presenteren en

alsmede de progressie die daarin zichtbaar kan worden gemaakt.

zo bijvoorbeeld een andere ‘norm’ te benadrukken, het zelfvertrouwen van mensen te vergroten of positieve associaties met gewenste gedragingen te bevorderen. Met nudging wordt zo gestuurd

Conclusie en afsluiting

op factoren die buiten de rationele afweging liggen.

In deze bijdrage hebben we laten zien dat veiligheid – ook informatieveiligheid - niet zozeer bepaald wordt door grote gebaren en papieren plannen, maar door de kleine fouten die ieder van ons

Nudges dwingen niet een bepaalde keuze af, maar verleiden mensen om een andere instelling

maakt in de dagelijkse dingen die wij doen. Daarin is het vraagstuk van informatieveiligheid niet

en ander gedrag te vertonen. Soms kan dat gaan om ongewenst gedrag tegen te gaan, bijvoor-

wezenlijk anders dan dat van andere vormen van veilig of onveilig gedrag die zich laten zien in

beeld door met nudges mensen te verleiden om hun afval wél in de prullenbak te gooien. Denk

de dagelijkse dingen die we doen. Van rampen zoals die met de Herald of Free Enterprise hebben

bijvoorbeeld aan de ‘basket-achtige’ vangers bij stoplichten die de wachtende autobestuurders

we geleerd dat mensen kleine ‘fouten’ maken als onderdeel van hun dagelijkse routine waarbij

uitnodigen om hun afval in te mikken. Hetzelfde zien we met de afbeelding van een vlieg die in

zij zich niet bewust zijn van de mogelijke consequenties van hun handelen.

vele urinoirs is aan te treffen en die onbewust het gewenste gedrag uitlokt. Op deze manier worden mensen niet zozeer door middel van regels en procedures (systeem 2) gedwongen om zich

Het gaat immers ‘goed’ totdat het een keer vreselijk ‘fout’ of ‘mis’ gaat. Dat ‘mis’ gaan toont zich

anders te gedragen, maar worden keuzes of opties dusdanig gepresenteerd dat zij mensen ‘een

pas in de dramatische samenloop van omstandigheden waarin deze kleine fouten consequenties

duwtje in de goede richting’ geven. Het doel is niet om druk uit te oefenen op mensen, maar om

blijken te hebben die wij niet konden overzien. Bij een ramp als van de Herald of Free Enterprise

hen de capaciteit te geven om keuzes te maken die maatschappelijk belangrijk worden gevonden.

ging het om kleine misverstanden tussen enkele personen in de context van hoge tijdsdruk en op zich te begrijpen beslissingen op het hoofdkantoor van de rederij.

De verkenning van concrete instrumenten om nudging toe te passen op het gebied van informatieveiligheid staat nog in de kinderschoenen, maar lijkt een waardevol perspectief te bieden.16

Onder invloed van informatietechnologie is het voor mensen nóg moeilijker geworden om de

Concreet kan worden gedacht aan het gebruik maken van de volgende heuristieken en biases om

consequenties van hun handelen te overzien en kunnen kleine fouten razendsnel tot een ket-

daarmee omstandigheden te prikkelen die onbewust uitlokken tot veiliger gedrag.

tingreactie van anderen leiden, met uiteindelijk desastreuze gevolgen. Juist fouten van mensen op sleutelposities in het beheren van de ICT kunnen de grootste consequenties hebben. Organi-

194

Onze neiging om te gaan voor de makkelijk realiseerbare en meetbare targets kan bijvoorbeeld

satorisch en bestuurlijk hebben wij de neiging om de operationele verantwoordelijkheid voor in-

worden gebruikt om op een slimme manier procedures die als belemmerend worden ervaren te

formatieveiligheid te beleggen bij ICT-professionals, aangezien zij de meeste kennis hebben van

195

de mogelijkheden en bedreigingen van de ICT. Door middel van beleidskaders, procedures en toezicht maken wij hen duidelijk wat van hen wordt verwacht. In deze bijdrage laten wij zien dat

Wij willen Ank Bijleveld-Schouten graag dank zeggen voor de kritische lezing van ons essay.

ook ervaren professionals gevoelig zijn voor de onbewuste mechanismen die leiden tot onveilig

Met name haar kanttekeningen over de morele implicaties van nudging en de oproep die zij

gedrag in de dagelijkse dingen die zij doen. Aan de hand van alledaagse voorbeelden wordt de

doet om de empirische gronden waarop de nudging-theorie is gegrond verder te onderzoe-

kracht van deze mechanismen zichtbaar gemaakt: het overkomt ons allemaal. Daarom pleiten wij

ken vinden wij zeer waardevol. Dat zijn terechte punten die we in het essay zelf niet nader

ervoor om de ‘kleine beslissingen’ een meer belangrijke plaats te geven in onderzoek en praktijk

adresseren. In andere wetenschappelijke publicaties (ook van onze hand) komen ze wel aan

van de informatieveiligheid. Dit betekent dat informatieveiligheid wordt gezien als vraagstuk

de orde. Dat neemt niet weg dat informatieveiligheid zonder twijfel gediend is bij een debat

voorbij de procedures, baselines en het aanwijzen van schuldigen als daarvan wordt afgeweken

hierover, in het verlengde van ons essay.

in de dagelijkse praktijk. Vertaald naar de verantwoordelijkheid van bestuurders, betekent dit dat informatieveiligheid ook anders op de agenda gaat verschijnen. Zo zal in het bestuurlijk toezicht meer aandacht moeten worden gegeven aan symptomen van de biases en heuristieken die zich tonen in de dagelijkse praktijk. Dit nodigt uit dat bestuurders reageren op onveilig gedrag als het zich voordoet en niet pas als zich een schuldvraag aandient. Het bestuurlijk toezicht dient dusdanig ingericht te worden dat mensen op de werkvloer zich geholpen voelen bij het zo goed mogelijk invullen van hun verantwoordelijkheden. Een ‘toezichthouder’ die zich opstelt als tegenstander wakkert aan dat mensen op de werkvloer geneigd zijn te volharden in onveilig gedrag. Daarnaast ligt er een taak voor bestuurders om de eigen organisatie tegen het licht te houden op de aanwezigheid van organisatorische knelpunten, zoals strijdige belangen, onduidelijke prioriteiten, werkdruk, doorgeslagen efficiencystreven die onveilig gedrag op de werkvloer uitlokken. In het verlengde daarvan kan worden gezocht naar subtiele aanpassingen in de organisatie omstandigheden, om medewerkers op de werkvloer onbewust een duwtje in de richting van veiliger gedrag te geven, gebruik makend van de kennis van biases en heuristieken. Tenslotte zullen we ook moeten accepteren dat onveilig gedrag op de werkvloer nooit helemaal uit te bannen is. Sterker nog, enige mate van onveilig gedrag is nuttig om als organisatie en individuen binnen de organisatie te blijven leren. Het weliswaar misleidende maar ook onmisbare gevoel van veiligheid in de dagelijkse dingen die we doen, creëert de ruimte om stapje voor stapje de grenzen in het eigen handelen te verleggen, totdat die grenzen zich hardhandig aandienen. Daarbij is het wel van belang dat organisaties stootkussens creëren zodat dergelijke gebeurtenissen kunnen worden opgevangen en het onveilig gedrag kan worden benut om de interne organisatie te verbeteren, zonder dat de pijn wordt afgewenteld op burgers en anderen.

196

1 Z  ie bericht en documentaire van 27 september 2010 op de website van CNN http://edition.cnn.com/2010/TECH/innovation/09/24/stuxnet.computer.malware/ 2 Zie bericht en documentaire van 14 februari 2012 op de website van EenVandaag http://20jaareenvandaag.eenvandaag.nl/ hoogtepunten/39770/sluizen_gemalen_en_bruggen_slecht_beveiligd 3 Zie bericht van 15 mei 2013 op Geenstijl.nl http://www.geenstijl.nl/mt/archieven/2013/05/wtf_hackers_kunnen_heel_nederl.html. 4 Zie dissertatie van E.P. Levitt, Quantitatively Assessing and Visualizing Industrial System Attack Surfaces , University of Cambridge, Juni 2011, https://www.cl.cam.ac.uk/~fms27/papers/2011-Leverett-industrial.pdf 5 De nieuwsberichten over beveiliging van ICS zijn gebaseerd op het slotreferaat van de IT-Audit&Advisory opleiding aan de Erasmus School of Accounting & Assurance, ‘Digitale Beveiliging van ICS’, door Lodewiek Jansen en Nanno Zegers. 6 Zie bericht van 28 januari 2013 op de website van Computable http://www.computable.nl/artikel/nieuws/security/4651914/1276896/gemeenten-maken-potje-van-websitebeveiliging.html 7 Onder andere beschreven op basis van het TRIPOD onderzoek naar onveilig gedrag in de olie-industrie, in: W.A. Wagenaar, J. Groeneweg, P.T.W. Hudson, Promoting safety in the oil industry, Ergonomics, 37 (1994) 1999-2013. 8 R. Trivers, The Folly of Fools - The logic of deceit and self-deception in human life, Basic Books, New York, 2011. 9 D. Kahneman, Thinking Fast and Slow, Farrar, Strauss and Giroux, New York, 2011. 10 L. Festinger, A Theory of Cognitive Dissonance, IL, 1957. 11 E.J. Langer, The Illusion of Control, Journal of Personality and Social Psychology, 32 (1975) 311-328. 12 A. Nuijten, M. Keil, H. Commandeur, Collaborative Partner or Opponent: How the Messenger Influences the Deaf Effect in IT Projects, in: 74th Annual Meeting of the Academy of Management, Philadelphia, 2014. 13 Wij willen graag Ank Bijleveld-Schouten danken voor haar kritische lezing van ons essay. Met name voor haar opmerkingen over de morele implicaties van nudging en de vraagtekens die zij plaatst bijn de empirische gronden waarop de nudging-theorie is gegrond hebben de gedachten gescherpt. Wij hebben deze terechte punten echter niet in de kerntekst kunnen adresseren. Dit neemt niet weg dat informatieveiligheid gediend is bij een debat hierover in het verlengde van dit essay. 14 R. Thaler, C. Sunstein, Nudge: Improving Decisions About Health, Wealth, and Happiness, Penguin Books, London, 2009. 15 K. van Oorschot, B. Haverkamp, M. van der Steen, M.J.W. van Twist, Choice Architecture, The Hague, March 20, 2013. Zie: http://www.nsob.nl/wp-content/uploads/NSOB_Choice-Architecture.pdf. 16 Jorren Scherpenisse, Mark van Twist, Martijn van der Steen, Ilsa de Jong, Nancy Chin-A-Fat, Nudges onderscheiden, Over de inbedding van gedragspsychologie in overheidsbeleid, Den Haag: Nederlandse School voor Openbaar Bestuur, 30-052014.

197

12.

Het hachelijk leren inzake informatieveiligheid roel in ‘t veld

Hoogleraar management hybride organisaties Open Universiteit Nederland

“We moeten weg zien te komen van de automatiseringstechnische benadering, maar het veel meer zoeken in de manier van omgaan met informatie.” Hans Goedhart, Provinciesecretaris Utrecht

Intro Dit is geen betoog met zeer uitgesproken opinies en aanbevelingen. Ook na lezing van een aantal andere essays houd ik twijfel over de aard van de problematiek en de plaats van de overheid daarin. In andere bijdragen verschijnt hier en daar een opvallend sterke overheid die stelselverantwoordelijkheid aanvaardt en ook waarmaakt. Gezien het feit dat informatiesystemen een transnationaal karakter hebben en in beheer zijn bij private organisaties die de maat van onze overheid ruimschoots overtreffen, lijkt mij gerede twijfel op haar plaats aangaande de realiteitswaarde van deze voorstelling van zaken. Zodoende zijn ook de antwoorden op de gestelde vragen voorlopig. Voor het vinden van een antwoord op de gestelde vragen, ga ik eerst in op de trits begrippen ‘data-informatie-kennis’. Vervolgens schenk ik aandacht aan de risico’s die het streven naar veiligheid rechtvaardigen. Tenslotte wijd ik een korte beschouwing aan de condities waaronder het mogelijk is adequaat te leren om voornoemd streven vorm te geven. Basics Daarom eerst een herbezinning op de basics die voor experts wellicht lachwekkend simpel is. Het onderscheid tussen data, informatie en kennis is van betekenis. Doordat machines massaal waarnemen, en massaal transacties verwerken, en zijn gekoppeld aan machinale geheugens, ontstaan grote gegevensverzamelingen, zowel in de private als in de publieke sector. Deze zijn opvraag-

199

baar, ontleedbaar en vaak geschikt voor combinaties met andere data binnen dezelfde gegevens-

Bij koppelingen van gegevens kunnen kettingen ontstaan: enkelvoudige gegevens worden in een

bibliotheek. Afhankelijk van de wijze waarop de gegevens zijn geordend, zijn ze vervolgens ook

informatiesysteem samengebracht en informatie uit dit systeem wordt gekoppeld met gegevens

te combineren met gegevens uit andere verzamelingen en bibliotheken. Ook voor andere doelen

of informatie uit een ander systeem. Zo kan de ketting langer en langer worden, en de complexi-

dan waarvoor ze zijn verzameld.

teit exploderen.

Data

De oorspronkelijke toestemmer in het opslaan van gegevens weet dan al lang niet meer welke

Het opslaan van data is soms een wettelijke verplichting en vaak ook ingegeven door bedrijfs-

koppelingen plaats vinden, en zelfs de beheerder van het primaire informatiesysteem weet het

economische overwegingen. De wijze van gebruik is vaak beperkt door wettelijke en/of contrac-

niet meer. Het lijkt dan ook vreemd hem hiervoor verantwoordelijk te houden. De vraag is dan

tuele bepalingen. Het is nuttig te constateren, dat de massale opslag van gegevens in een enkele

gewettigd of de verantwoordelijkheid aangaande zelfregulering zich wel tot dit aspect kan uit-

verzameling dus een bron van onveiligheid is. Een verzameling is ook als geheel te stelen of/

strekken.

en te misbruiken. De transactiekosten van het stelen van een grote verzameling gegevens die op een enkele plaats zijn opgeslagen zijn immers veel geringer dan die van het bemachtigen van

Kennis

afzonderlijke gegevens.

Een derde dimensie die ik hier slechts kort aanstip is kennis, te definiëren als een regelmatigheid die zich onder bepaalde condities voordoet. Combinaties van gegevens kunnen leiden tot schat-

Informatie

tingen van de intensiteit van samenhang van gegevens. Veel deskundigen haasten zich om te

Informatie bestaat uit zinvol geordende gegevens, en dus is altijd de vraag wie de zingever(s)

benadrukken, dat het hier gaat om correlatie en niet om causaliteit. Het onderscheid tussen beide

van de ordening is/zijn. De informatiecreatie kan plaats vinden in een enkelvoudige gegevens-

lijkt helder. Bij het combineren van grote en veelzijdige gegevensverzameling, vaak Big Data

verzameling of voortkomen uit het combineren van gegevens uit verschillende verzamelingen.

genoemd, is het echter mogelijk om selectieve strategieën te hanteren waarbij het vermoeden van

De informatie kan wederom op dezelfde wijze worden opgeslagen als data, met dezelfde conse-

causale samenhang een begin van kennisvorming inleidt. Het klassieke woord van T.S. Eliot:

quenties.

“where is the wisdom we lost in knowledge, where is the knowledge we lost in Information?” verkeert althans partieel in zijn tegendeel. Zie hierover de oratie van B. Mons Leiden, 2013:

Welk gegeven op te slaan, is een of politieke of bedrijfseconomische vraag, die deels is te herlei-

Kennis is als liefde…., waaruit het volgende citaat:

den uit het antwoord op de vraag welke zinvolle verbindingen met dit gegeven zijn aan te leggen; dat kan ook zinvolheid naar het oordeel van anderen zijn. Het is zelfs mogelijk dat de actor die

Tenslotte: het is onvermijdelijk dat zowel biologische als computationele technieken op zeer

de gegevensverzameling tot stand brengt op dat moment nog niet weet welke combinaties tot

korte termijn zoveel hypothetische nanopublicaties zullen produceren dat die onmogelijk alle-

stand zullen komen, maar er op vertrouwt dat te zijner tijd de gegevensopslag rendabel blijkt te

maal experimenteel getest kunnen worden. In feite worden onze recente artikelen, zoals gezegd,

zijn. In de publieke sector is de vraag welke informatie op te slaan dus altijd een politieke vraag!

soms in eerste instantie op die gronden afgewezen. Dit is echter een conservatieve en elitaire

Maar niet de enige: steeds is ook aan de orde onder welke condities de informatie en voor wie de

drogreden: Zelfs wij, van nature experimentele biologen, zullen moeten accepteren dat grote

informatie toegankelijk is.

hoeveelheden door de computer geformuleerde hypotheses noodgedwongen als ‘voorlopige waarheid’ zullen moeten functioneren zonder eerst in het laboratorium gevalideerd te worden.

Sommige gegevens zijn openbaar, afhankelijk van de lokale inzichten over het belang van open-

Tenzij we natuurlijk naast data kerkhoven nu ook hypothese kerkhoven willen accepteren. Als

baarheid en de grenslijn van privacy. Het belastbaar inkomen is in de USA een openbaar gegeven,

we zo doorgaan met data produceren dan zullen we die of heel snel weer moeten weggooien, of

in ons land niet. Zodra een gegeven openbaar is, behoeft het geen beveiliging in de betekenis van

Nederland moet binnen enkele jaren haar volledige bruto nationaal product aan data beheer

het bewaren van vertrouwelijkheid, maar wel inzake authenticiteit en juistheid.

uitgeven. U begrijpt allemaal dat dit niet gaat gebeuren, al was het alleen maar omdat data produceren ook geld kost, hoewel, slechts een fractie van databeheer en analyse. Het moge

Het vervaardigen van een gegevensbank schept op zich risico’s, namelijk dat massaal gegevens

echter uit mijn betoog wel duidelijk zijn dat de schrijnende onderwaardering voor bio-infor-

verloren gaan of misbruikt worden; GBA leidt voor de burger tot het risico van identiteitsverlies

matica en goed datarentmeesterschap een ernstige bedreiging vormt voor de volgende fase van

c.q. fraude; het tot stand brengen van een gegevensbank produceert dus onveiligheid; maar de

de moderne wetenschap.

baat is naar het oordeel van de beslissers groter dan mogelijke schade maal de kans daarop.

200

201

Critici noemen deze benadering speculatief. Het valt echter niet te ontkennen dat de met opslag

politici plaatsvindt. Maar bestuurders van publieke organisaties en ambtenaren formuleren wel

van grote gegevensverzamelingen gepaard gaande risico’s van een andere en ernstiger orde in het

criteria voor risicomanagement waarvan zij vermoeden dat ze in overeenstemming zijn met de

geding zijn indien uit koppelingen opdoemende hypotheses voorlopig dienst doen als kennis waar-

waarden van de verantwoordelijke politicus. Er is geen reden om aan te nemen dat het risico-

op handelingsperspectieven worden gebaseerd, en dus real life betekenis krijgen en consequenties

gedrag van overheden op het gebied van informatieveiligheid er anders uitziet dan in andere

met zich brengen. Het streven naar veiligheid is omgang met risico’s en dus schenken we eerst nu

sectoren. Dus zal ook hier vooral rampaversie domineren. Inbreuken op vertrouwelijkheid, scha-

aandacht aan het risicobegrip.

de veroorzakende onbedoelde combinaties van gegevens, en andere vormen van schade door crimineel misbruik zijn de meest voorkomende dreigingen. Dit betekent dat de investeringen van

Risico’s

overheden in informatieveiligheid, daar waar veel gevaar op veel – elk voor zich- kleine schades

Bij de beslissing tot gegevensopslag heeft de beslissende actor wel een indruk, zij het niet steeds

aanwezig is, kleiner zullen zijn dan die van private actoren met een meer neutrale risico-attitude,

een adequate, van het daarmee gepaard gaande risico. Om een adequate benadering van risico’s te

zoals banken.

bereiken is het gewenst om af te zien van de banale omschrijving van een risico als een kans op schade. Een risico definieer ik als een frequentieverdeling van kansen op toekomstige alternatieve

Bij risicomanagement is de voorzienbaarheid van risico’s een belangrijke grootheid. In het alge-

gebeurtenissen G. De eenvoudigste vorm is: handeling 1 leidt tot p. G1 +(1-p).G2. De kansen

meen is de dreiging die verbonden is aan een enkelvoudig databestand beter te overzien en te voor-

tellen op tot 1.

zien dan welke is verbonden aan als informatie beschouwde koppelingen van gegevens. Anders dan ik aantrof in de meeste beschouwingen omtrent het onderhavige onderwerp is mijns inziens

G1 is bijvoorbeeld: de baat van blijvend goed beschermde gegevensopslag

de voornaamste onvoorzienbaarheid gelegen in de bij het bouwen van het gegevenssysteem nog

G2 is bijvoorbeeld: de schade die ontstaat door inbraken in het systeem

onbekende reeks van latere koppelingen. Bij het vastleggen en beschikbaar stellen van gegevens omtrent huizenprijzen en de ligging kon het Kadaster niet voorzien, dat slimme marketeers de

Het niet opslaan van het gegeven, de alternatieve handeling 2, leidt bijvoorbeeld tot het uitblijven

deelverzamelingen van dure woningen met veel grond zouden gebruiken voor gerichte marketing.

van de baat, maar ook van het gevaar op schade. De kans op gevaar of schade is aanvaard omdat

Bijvoorbeeld van bepaalde automerken, maar dat ook slimme criminelen daarbij profijt hadden.

door een bepaalde gedragslijn of ontwikkeling tevens de kans op baat ontstaat. Het is niet mogelijk

Voornoemde onvoorzienbaarheid is ook de voornaamste reden, waarom bij de beslissing tot het

de baat te realiseren zonder ook het gevaar te trotseren. In het algemeen is het wel mogelijk om

opslaan van gegevens eventueel geen, achteraf bezien adequate, risico-inschatting bestond.

tegen bepaalde kosten het gevaar terug te dringen. In de banale definitie is onduidelijk waarom je niet eenvoudig het gevaar uit de weg ruimt.

Op andere terreinen is reeds gebleken dat risicocommunicatie buitengewoon lastig is omdat verschillende actoren uiteenlopende voorstellingen hanteren van wat een risico is en bovendien de

Overheden gedragen zich vaak als actoren die niet afkerig zijn van het aangaan van risico’s (dus

eerder genoemde P’s en G’s uiteenlopende waarderingen toekennen. Waarderingen die niet zelden

niet risico-avers zijn) maar wel rampaversie tonen.Dat wil zeggen dat zij een gebeurtenis met gro-

positioneel bepaald zijn. Het is dus van groot belang om leerprocessen te bewerkstelligen waar-

te schade, bijvoorbeeld tot uitdrukking komend in een groot aantal slachtoffers, ernstiger vinden

door de kwaliteit van voornoemde communicatie gestaag stijgt.

dan een reeks van kleinere gebeurtenissen met de zelfde totale schade, bijvoorbeeld hetzelfde totaal aantal slachtoffers. Dit blijkt uit het feit, dat een van de aanvaarde maten voor risico, het

Het streven naar veiligheid is te beschouwen als een species van het genus omgang met risico’s.

groepsrisico, een logaritmische schaal heeft: een kans van 0,1 op 1 dode is equivalent aan een

Veiligheidsstrevingen krijgen vorm in de bereidheid om kosten te maken ter wille van het terug-

kans van 0,001 op 10 doden. In een eerdere publicatie heb ik bestreden, dat de stelling van poli-

dringen van gevaren voor schending van waarden als vertrouwelijkheid, juistheid, authenticiteit,

tici en ambtenaren, die luidt dat de burger rampavers denkt, juist is (zie macht en onmacht in de

en afwezigheid van misbruik.

rampengeneeskunde, Elsevier 2006, daarin In ’t Veld, Omgaan met risico’s).Veeleer is bij rampen de kans op discontinuïteit van de politicus zelf in het geding. Maar deze karakteristiek van over-

Veiligheid

heidsgedrag is wel een feit.

De term veiligheid vereist uitdieping. Informatieveiligheid houdt in dat geen (belangen van) mensen en organisaties schade ondervinden van het gebruik van informatie in strijd met wat was toe-

Het risicomanagement binnen de publieke sector is daarmee specifiek en bepaald door politieke

gezegd, gecontracteerd of gereguleerd. Uiteindelijk gaat het dus niet om de informatie zelf, maar

overwegingen. Dit betekent overigens niet, dat het daadwerkelijke risicomanagement ook door

om het gebruik of misbruik.

202

203

Uiteraard is veiligheid een gradueel begrip. Men zal dus investeren in veiligheid totdat de marginale

Veiligheid moet veel meer als een schaars goed worden gezien; het is ook verhandelbaar en com-

baat van additionele investeringen geringer dreigt te worden dan de marginale kosten. Het pro-

penseerbaar. Veiligheid voor de een is onveiligheid voor de ander; veiligheid voor de staat is on-

bleem is echter dat de baat van veiligheid over veel uiteenlopende actoren is gespreid die lang niet

veiligheid voor een individu. Het veralgemenen van compensatieregelingen leidt tot de vorming

alle meebeslissen over de voornoemde investeringen. Veel deskundigen menen dat de overheid of

van een complexe markt rond informatieveiligheid. De verpakking van informatieverstrekking als

overheden een stelselverantwoordelijkheid hebben om deze veiligheid te bewerkstelligen. Bedoeld

enkelvoudige dienstverlening is een bedrieglijke, want miskent de oneindige reeks toekomstige

is dan waarschijnlijk dat de overheid een betrouwbaar beeld heeft van de totale maatschappelijke

mogelijke koppelingen. Vanuit de burger gezien is in het Snowdon-tijdperk bovendien de vraag

baat van veiligheid en dus ook de geschikte besluitvormer over investeringen is. De vraag is of

gewettigd: waarom zou ik de staat vertrouwen? Ook in het geval van de omgang met private infor-

deze veronderstelling realistisch is. Met name risico’s die ontstaan bij voortgezette koppelingen in

matiesystemen is de positie van de individu, klant en burger, onevenwichtig zwak. Ik ga akkoord

vernetwerkte omgevingen zijn slecht ex ante in te schatten. Wellicht is in het geheel geen actor aan

met cookies, met mateloos ingewikkelde contracten rond software door het aanvinken van hokjes.

te wijzen die een betrouwbaar beeld heeft. De vernetwerking, verwevenheid en koppelingen beper-

Technoregulering heeft mij opgezadeld met tientallen ‘contracten’ die ik gedachteloos heb onderte-

ken zich immers niet tot de publieke sector. Door de overheid bewaarde gegevens komen in handen

kend door een hokje aan te kruisen waarin ik akkoord ging met lappen onbegrijpelijke teksten. Of

van private partijen en private gegevens komen in handen van overheden. Zo vordert de FIOD de

mijn persoonlijke levenssfeer is geëerbiedigd, kan ik niet overzien.

parkeergegevens van klanten die mobiel parkeren om na te gaan of de houders van lease-auto’s deze ook privé gebruiken, etc., etc.. Het verschil tussen publieke en private systemen is ook maar heel

De keuze van een bepaalde gedragslijn van de democratische overheid inzake risico’s van informa-

betrekkelijk: de gegevens rond mijn OV-chipcard heb ik verpand aan NS maar NS kan elk moment

tie-opslag is natuurlijk ook mede afhankelijk van de mate waarin burgers vrijwillig risico’s aanvaar-

de spelregels veranderen en een tal van koppelingen laten ontstaan met private en publieke databa-

den en al dan niet privacy waarborgen belangrijk vinden.

ses. Over deze koppelingen mis ik iedere zeggenschap. Leren inzake veiligheid De positie van de individuele consument c.q. burger lijkt dus zeer zwak. Dat wordt anders indien

De literatuur omtrent geavanceerde organisaties voor wie veiligheid core business is (Weick, Ro-

collective action plaats vindt die gericht is op naming and shaming van gegevensbeheerders die

berts, Sutcliffe, Van Eeten) bevat een aantal aanknopingspunten voor leren die wellicht ook van

onvoorziene en negatief gewaardeerde koppelingen tot stand brengen. Met behulp van social media

belang zijn in het domein van informatieveiligheid.

is dan macht te organiseren. Ten eerste is van het grootste belang dat binnen de organisatie fouten en near-accidents niet in Het veiligheidsrisico is dus veel complexer dan uitsluitend de bescherming van een enkel digitaal

de eerste plaats dienen om af te rekenen, te straffen – waarbij de afwezigheid van fouten wordt

systeem tegen inbraak. De problematiek strekt zich uit tot: veiligheid voor wie, met welk doel, maar

beloond- maar vooral aanjagen tot leren. Daarvoor is een sfeer nodig waarin medewerkers onbe-

ook veiligheid van wat? Veilige gegevens zijn voor de AIVD gegevens waar de AIVD goed bij kan.

vangen kunnen vertellen, en vervolgens leerervaringen worden omgezet in verbetering van proto-

Voor een burger houdt deze karakteristiek onveiligheid in. Bij de besluitvorming over aanvaard-

collen en andere standaarden voor handelingspraktijken. Ook als men aanvaardt dat het algemene

baarheid van risico’s moet duidelijk zijn op welke wijze wordt omgegaan met het gegeven dat de

beginsel bij het streven naar informatieveiligheid luidt dat iedere overheid zelf reguleert betekent

verdeling van de gunstige effecten en die van de gevaren in bijna alle gevallen een scheve verdeling

dat geenszins dat de leerprocessen beperkt moeten blijven tot de eigen organisatie. In de luchtvaart

is. Scheef in de zin van tijd (korte termijn en lange termijn effecten), ruimte (de effecten zowel po-

bijvoorbeeld werken onderling concurrerende luchtvaartmaatschappijen op veiligheidsgebied van

sitief als negatief treden ruimtelijk op, op verschillende plaatsen) en subjecten (de risicoveroorzaker

harte samen. De mondiale empirie is immers veel rijker dan de beperkte eigen ervaringen.

die baat heeft bij een activiteit en de risicoloper die geen baat heeft bij de activiteit). Het is denkbaar dat bepaalde risico’s toch aanvaardbaar worden geacht, ook al is sprake van een scheve verdeling

Een tweede karakteristiek is dat de leerprocessen door de gehele bedrijfskolom worden doorge-

van lusten en lasten. Bijvoorbeeld omdat de baten van een bepaalde activiteit maatschappelijk dui-

voerd, dus ook vliegtuigfabrikanten, luchthavens, etc. nemen daaraan deel.

delijk opwegen tegen de lasten. Een vorm van compensatie voor risico-ontvangers van deze lasten is dan te overwegen. Immers, ook als een regulerende overheid op redelijke wijze ter wille van de

Ten derde is wezenlijk, dat de leerprocessen niet plaatsvinden op theoretisch niveau alleen, maar

verwezenlijking van de maatschappelijke baten organisaties en burgers verplicht tot het beschik-

dat de werkvloer volledig als (mede) kennisdrager is erkend. Sterker nog, indien de praktijk zich

baar stellen van gegevens, kan het nakomen van deze verplichting voor sommigen onevenredig

niet ontwikkelt overeenkomstig de theorie, hebben de theoretici iets uit te leggen, niet in de eerste

grote nadelen opleveren.

plaats de practitioners.

206

207

Ten vierde zullen de leerprocessen niet alleen steeds multidisciplinair zijn, maar ook transdiscipli-

Nog steeds treft men situaties binnen de publieke sector aan waarin de gemodelleerde wereld van

nair.Dit betekent dat het ontwerp van (betere) handelingsperspectieven door samenwerking doel

de beleidsontwikkelaars de kern van het gesprek vormt en de uitvoeringspraktijk als een soort repli-

van de exercitie is, niet in de eerste plaats verrijking van theoretische kennis. Uiteenlopende soorten

ca geldt. De veel grotere complexiteit van de ‘echte’, de uitvoeringswereld is immers een handicap

van kennis mengen zich daartoe, wat de ontwikkeling van gemeenschappelijke taal vereist, dan wel

voor een helder gesprek. In een degelijke sfeer is leren uiterst lastig. Waar sturing en beheersing op

de aanwezigheid van tolken (boundary spanners). Bovendien is noodzakelijk, dat wetenschappers

de voorgrond staan, is de ontvankelijkheid voor empirie vaak gestoord. Ook de mediale invloed in

en andere experts de bereidheid bezitten om af te zien van de bescherming die methodologie en

de kennisdemocratie bevordert het leren niet.

modellering opleveren en deelachtig te zijn aan de complexiteit van real life situaties, en dat bestuurders de bereidheid hebben om hun wil te laten temperen door bruikbare kennis. De condities

Het is bekend dat departementen er beleidstheorieën op nahouden waarin waarden en kennis zijn

voor procesvoering zijn dus cruciaal.

gemengd in een specifieke kijk op de gewenste hoofdlijnen van beleid. Daarin is veel geïnvesteerd, niet zelden ook emotioneel. Er zal voorname functionarissen binnen de departementen veel aan

In een eerdere publicatie heeft Helsloot helder laten zien, dat de leerprocessen ook gelaagd beho-

gelegen zijn om de leerprocessen zo in te richten, dat de beleidstheorie in stand kan blijven. Aange-

ren te zijn, en dat eerste- en tweede-orde-leerprocessen ook organisatorisch verbonden dienen te

dragen inzichten die de plausibiliteit van de beleidstheorie dreigen te ondergraven, zullen door deze

worden.

functionarissen worden afgedaan als niet ter zake, of in ieder geval onwelgevallig. Deze vorm van dogmatiek belemmert de reikwijdte van de leerprocessen en doet afbreuk aan de sfeer die nodig is

De boeiende vraag is nu, of dergelijke geavanceerde leerprocessen binnen de overheid mogelijk

om transdisciplinair voortgang te boeken. Hetzelfde geldt uiteraard voor producenten die ten koste

zijn. De politiek bezit immers een aantal specifieke eigenschappen die mogelijk complicaties op-

van alles blijven zweren bij de deugdelijkheid van het geleverde product. Met name de wat meer

leveren. Zo is politieke verantwoording in het algemeen niet gericht op leren, maar op het beant-

fundamentele tweede-orde-leerprocessen zullen dan niet of onvoldoende van de grond komen.

woorden van de vraag of desbetreffende functionaris dan wel organisatie nog wel het vertrouwen verdient van de hoogste politieke gezagsdragers, niet zelden een volksvertegenwoordiging. De mo-

De hier naar voren gebrachte belemmeringen behoeven niet te leiden tot het fatalistisch bij de

tie van wantrouwen is dan de ultieme sanctie. Het moge duidelijk zijn dat deze verantwoordings-

pakken neer zitten. Op een aantal terreinen zijn geleidelijk attitudes gevormd die afstand scheppen

processen, hoe honorabel op zich zelf ook, de eerste karakteristiek van geavanceerde leerprocessen

en eerbiedigen en zodoende leren mogelijk maken. De verplaatsing van de aandacht van toezicht-

niet bevorderen, to put it mildly. De verdedigende partij zal zich immers inspannen om aan te tonen,

houders in de richting van aandacht voor de vraag: leert deze sector genoeg? Is daarvan een goed

dat de gevolgde gedragslijn die leidde tot disfunctioneren dan wel (near-) accident, toch eigenlijk

voorbeeld. Dit vereist zowel toezichthouders die weigeren om hun professionaliteit op te offeren

wel redelijk was. Dit leidt eerder af van leren.

voor een gunstige verhouding tot de politiek als politici die begrijpen dat hun aanwezigheid ook kan storen. Beide zijn aanwezig, zij het niet in de meerderheid.

De daaruit voortvloeiende aanbeveling, reeds veel eerder verwoord in de dissertatie van Van der Knaap, luidt dus dat leerprocessen zich alle met succes kunnen ontwikkelen in de luwte van, dan

Een interessante vraag luidt, of de zojuist geopperde waarnemingen van leerbelemmeringen bin-

wel op afstand van de politieke hitte. Daarvoor is meer nodig dan afstand van de politiek zelf. Er

nen een politieke omgeving niet ook zijn te registreren in grote private bureaucratieën. Binnen

bestaat immers ook een fors aantal toezichthouders dat namens de executieve toezicht houdt, ook

een kennisdemocratie vormt de mediapolitieke verstrengeling de permanent werkende motor voor

op formeel vrij afstandelijke organisaties. Indien de toezichthouders vooral functioneren als con-

de afrekencultuur. De strijd om de macht vormt de kern van politiek. Het komt mij voor, dat een

troleurs vanwege en voor politici, is de kans groot dat zij meer de afrekencultuur representeren dan

private organisatie over meer mogelijkheden beschikt om zich af te schermen van media, en dat

bijdragen aan leerprocessen.

daarbinnen de strijd om de macht meestal een gematigder karakter zal hebben. De internalisering van het bewustzijn binnen een private organisatie dat informatieveiligheid core business is, zal het

Dezelfde karakteristiek van de politiek maakt het ook moeilijk om leren inzake veiligheid door de

mogelijk maken om de condities voor geavanceerd leren duurzaam prioriteit te geven. Dit laatste

gehele kolom door te voeren. Wie in het verleden ontstane kwesties inzake informatieveiligheid

lijkt in de hitte van de politiek onwaarschijnlijk.

nog eens de revue laat passeren, zal zich herinneren dat de politiek vaak de ICT-producent of -adviseur tot barbertje wenste te maken. Een even later volgende invitatie aan dezelfde barbertje om

Pps in netwerken

alle expertise ter beschikking te stellen die voor gezamenlijk leren noodzakelijk is, ook die omtrent

De dominante positie van informatie in het leven van hedendaagse mensen en organisaties met

eigen fouten, komt dan niet aan op vruchtbare bodem.

behulp van een technologie die zich sterk ontwikkelt in het faciliteren van welzijn en welvaart via

208

209

“Digitale fouten en lekkages in het informatiesysteem zijn de verantwoordelijkheid van burgemeester en wethouders. Raadsleden zijn er voor om controle daarop uit te oefenen.” Peter Otten, Raadslid gemeente Zeist

allerlei complexe digitale koppelingen noodzaakt tot veel aandacht voor een redelijke ontwikkeling waarin belangrijke waarden tot op zekere hoogte blijven geborgd. Dit vergt vernetwerking, en zoals bekend is de waarde empathie de voornaamste conditie voor vitale netwerken. Netwerken die zeer overwegend een privaat-publiek karakter zullen hebben. Daartoe is een matiging van de verticaliteit van de staat nodig. Deze matiging staat op zeer gespannen voet met de roep om een hiërarchisch bovengeschikte controlestaat die ons bevrijdt van criminaliteit e.d.. De omgang met deze spanning vergt volwassen dialoog die in een populistisch politiek klimaat nauwelijks is te voeren. De uitwerking van het vorenstaande treft de lezer hieronder aan. Vitale netwerken Vitale netwerken aangaande informatieveiligheid zullen bijna steeds een gemengd privaat-publiek karakter hebben. Fabrikanten van hard- en software, adviseurs en wetenschappers, alsmede private databeheerders zullen zich mengen met overheidsinstanties. De laatste zullen weliswaar alle zijn toegewijd aan het algemeen belang, maar desondanks ieder tevens eventueel tamelijk uiteenlopende eigen deelbelangen en prioriteiten hebben. Zoals wij in een ander essay toelichtten, is de complexe zijde van informatieveiligheid vooral lastig vanwege de in de loop van de tijd voortgezette koppelingen, leidend tot additionele informatie, met steeds nieuwe combinaties van belanghebbende actoren. Deze voortgezette koppelingen zijn tevoren onbekend en ook slechts zeer ten dele voorspelbaar. De karakteristiek van de netwerken zal daarom bijzonder zijn. Daar waar we in andere domeinen vaak kunnen spreken over netwerken met een vaste, bepaalde reeks van actoren, zodat die elkaar kennen en geleidelijk onderling vertrouwen opbouwen, zoals in de asielketen of de schoolverzuimketen, is op dit terrein overwegend sprake van open netwerken waartoe met iedere voortgezette koppeling van gegevens eventueel nieuwe actoren toetreden. Er is nog een andere reden voor dit open karakter. Indien overheden zich verbinden met specifieke marktpartijen, is eigenlijk vanaf de aanvang duidelijk, dat het dominante streven naar faire marktverhoudingen het ongewenst maakt om langdurig exclusieve bindingen aan te gaan. Ter wille van herstel van level playing fields is immers de mogelijkheid van een latere entree van een nieuwe partij steeds vereist. Indien het netwerk in eerdere samenstelling investeringen heeft gedaan, hangt wel eventueel een prijskaartje aan de binnenkomst van nieuwe netwerkpartners. De bouw van infrastructuur, inclusief veiligheidsvoorzieningen, voor open netwerken heeft een ander karakter dan die van gesloten netwerken. Sommigen hanteren de metafoor van het rizoom om de ontwikkeling te beschrijven. Aan de uiteinden van het netwerk ontwikkelen zich steeds weer nieuwe koppelingen. Dit impliceert dat het bouwsel een adaptief karakter behoeft. Het betekent ook, dat de onderlinge verhoudingen van de netwerkpartners volatieler zullen zijn dan die in een vast netwerk.

210

211

Bovendien zal het gemengd publiek-private karakter van deze netwerken leiden tot een hybride

Waar in zich ontwikkelende netwerken ook partners zullen deelnemen, die overigens elkaars con-

cultuur. In de theorie van de hybride organisatie is de voornaamste culturele spanning het gevolg

current zijn, strekt de coöperatie in leren zich uiteraard niet uit tot die aspecten, die de kern van de

van mogelijke botsingen tussen twee waardepatronen, dat van de publieke sector en dat van de

potentie tot een competitieve voorsprong belichamen. Het is nuttig deze vooraf te benoemen, omdat

bonafide marktorganisatie. De centrale waarde van de eerste is het dienen van het algemeen belang,

anders later non-coöperatie blijkt die dan wellicht bedreigend zou zijn voor het gehele leerproces.

terwijl contractuele betrouwbaarheid in het vaandel van de tweede staat. In veel situaties ontstaat

Wellicht is het wenselijk binnen het netwerk een rol te expliciteren die zich bezighoudt met de pro-

een soort double bind, doordat het algemeen belang juist ander gedrag vergt dan past bij contrac-

cesarchitectuur van het leerproces dat het toekomstig veiligheidsstreven moet onderbouwen. Zoals

tuele betrouwbaarheid. Jane Jacobs vat een en ander in haar essay Systems for Survival als volgt

in het algemeen geldt voor procesarchitectuur, verdient het aanbeveling om deze rol niet te geven

bondig samen: “deceive for the sake of the task” is mogelijkerwijze optimaal publiek gedrag. Het

aan de machtigste actor. Eventueel kan men ook aan een neutrale buitenstaander denken, maar deze

vinden van arrangementen waardoor beide waarden duurzaam verenigbaar zijn, is de grote opgave

heeft per definitie een informatieachterstand.

voor de hybride organisatie. Mijn persoonlijke verwachting is, dat open hybride netwerken weliswaar kunnen leren aangaande Om op bevredigende wijze met deze dilemma’s om te kunnen gaan, moet de hybride organisatie

veiligheid, maar dat hun bestaan voortdurend sluimerend instabiel is. Immers, het ligt voor de hand,

beschikken over meer leervermogen dan de omgeving. Zij is immers steeds een potentiele verdach-

dat toekomstige burgers veel meer alertheid dan huidige generaties zullen ontwikkelen voor mani-

te. Ook moet zij de lenigheid bezitten om met publiek en privaat recht tegelijk te kunnen omgaan(

pulatie van de informatie die hen bereikt als gevolg van buiten hun wetenschap tot stand gebrachte

Zie Noorderlicht 1995).

verbindingen van gegevens. Het kan onschuldig ogen, dat twee googlegebruikers die dezelfde informatievraag stellen ongelijke antwoorden krijgen, maar er is weinig fantasie nodig om te beden-

De vraag is of deze omstandigheden en eisen op dezelfde wijze gelding bezitten voor hybride

ken hoe uit op nudging lijkende informatieselecties veel schade kan ontstaan. De opeenhoping van

open netwerken. In netwerken is in het algemeen de verbindende en gedeelde relationele waarde

macht in niet door klanten gecontroleerde private gegevensbeheerders zal op langere termijn tot

empathie.Partners realiseren zich dat hun eigen individueel gedrag alsmede bi- of meer- laterale

backlash leiden binnen de politiek. Deze veroorzaakt voornoemde instabiliteit.

transacties consequenties hebben voor andere partners en houden daarmee rekening. Dit wederzijds vertrouwen schraagt het netwerk. Overigens kunnen netwerkpartners uiteenlopende waarden en doelen hebben. In een publiek-private configuratie is het maar de vraag of wederzijdse empathie duurzaam kan zijn. Immers, de operationele publieke bestuurder zal zich steeds dienen te verantwoorden aan een volksvertegenwoordiging die niet deelachtig is aan voornoemde empathie. Dus iedere keer als het spannend wordt, ontstaat spanning op deze relationele waarde. De oplossing voor deze spanning is te vinden in het scheppen van afstand tussen het politieke centrum en de operationele besturing van gegevensbestanden en informatiesystemen. Juridische constructies volstaan daarvoor niet. Het politieke centrum moet afwegen of participatie in voornoemd netwerk de voorkeur verdient boven controle op het eigen overheidsoptreden. Met participatie gaat immers een aantal mogelijkheden tot beheersing verloren. Daarvoor is tevens het inzicht aan de zijde van politici onontbeerlijk dat tussentijdse interventies hunnerzijds de vitaliteit van het netwerk zouden bedreigen. Ook is nodig dat zij zich vooraf realiseren met welke later eventueel toetredende partners zij zich wel en niet zullen kunnen verenigen. Als resultaat hiervan zal de politiek wellicht een toetredingsprotocol willen formuleren. Het ontwikkelen van een leerproces in een open adaptief netwerk vereist het aanbrengen van onderscheid tussen pre- en postcompetitieve aspecten enerzijds en competitieve aspecten anderzijds.

212

213

“Volgens de wet mag je gegevens niet zomaar overal voor gebruiken. We moeten dus goed uitzoeken en bijhouden voor welke doeleinden we gegevens inzetten.”

13.

Leren voor de bühne of voor de goede zaak? ira helsloot

Hoogleraar Besturen van Veiligheid Radboud Universiteit Nijmegen

Mart Driessen, Loonaangifteketen bij de Belastingdienst/ UWV

ketenmanager

Abstract Het belang van informatieveiligheid is (ook) in het openbaar bestuur onomstreden. Net zo boven elke twijfel verheven lijkt de wens om consequent en institutioneel te leren van eerdere fouten en nieuwe inzichten. Toch blijkt bij een nadere beschouwing dat binnen het openbaar bestuur het leren over informatieveiligheid niet de hoogste prioriteit heeft. In dit essay beschrijven we het ‘ist’ en het ‘soll’ van institutioneel en bestuurlijk leren in hun onderlinge samenhang. In zekere zin is de ‘soll’ situatie het meest eenvoudig: we weten al veel over eerste-orde (aanpassingen binnen bestaande structuren) en tweede-orde-leren (fundamentele verandering van bestaande structuren is noodzakelijk). Bij de twee leeropgaven horen eigen verschillende leerstrategieën passend bij de niveaus ‘bestuur’, ‘bestuurlijke omgeving’ en ‘organisatie’. Onderscheid moet bovendien gemaakt worden tussen vier leerstappen: intuïtie, interpretatie, integratie en institutionalisatie. In het daadwerkelijke leerproces vergen deze stappen verschillende werkvormen. De weerbarstige praktijk van het ‘ist’ laat echter een heel andere leervorm zien: symbolisch leren is een aantrekkelijke optie voor wie een risico eigenlijk niet erg serieus neemt en daarom niet wil investeren. Zo kan een bestuurlijke tweede-orde leeropgave opeens gereduceerd worden tot een eerste-orde ambtelijk ‘probleempje’.

215

Voor wie hecht aan betere informatieveiligheid is daarmee de eerste leeropgave om het hart van het beThey might get the same reaction: ‘it is a “techie” thing’ and ‘who could seriously be interested

stuur te veroveren dat wil zeggen om het belang van informatieveiligheid werkelijk begrepen te krijgen.

in my information?’ Just wait, I guess, and finally you will see who was interested.’1 Inleiding: de informatieveiligheidsopgave Er is, tenminste op het eerste gezicht, iets bijzonders met het leren over informatie(on)veiligheid: fei-

Semantiek is vaak veelbetekenend binnen het openbaar bestuur. De Taskforce BID heeft gekozen

telijke voorbeelden van onveiligheid lijken niet tot een grote urgentie te leiden binnen het openbaar

voor het woord ‘informatieveiligheid’ in plaats van het woord ‘informatiebeveiliging’. Dat is

bestuur.

verstandig want het woord ‘beveiliging’ heeft vooral een technische connotatie. Het is daarom jammer dat de minister van Binnenlandse Zaken in zijn reactie op het DigiNotar consequent over

Ter herinnering, de meest directe aanleiding voor het instellen van de Taskforce Bestuur en Informatie-

informatiebeveiliging spreekt2 terwijl de Onderzoeksraad wel over informatieveiligheid spreekt,

veiligheid Dienstverlening (Taskforce BID) was de DigiNotar affaire. De Onderzoeksraad voor Veiligheid was indertijd hard in haar oordeel over wat zij zag als de gebrekkige onderkenning van het belang

De discussie is echter meer dan semantisch: het is een essentiële vraag of informatieveiligheid

van informatieveiligheid binnen het openbaar bestuur.

een technische of een bestuurlijke opgave is. De al dan niet noodzakelijke energie die in de noodzakelijke verbeteringen moet worden gestoken, hangt van die inschatting af. Bij veranderingen

Directe aanleiding rapport Onderzoeksraad

moet immers een onderscheid worden gemaakt tussen twee typen veranderingen:

De Onderzoeksraad voor Veiligheid spreekt in haar DigiNotar-rapport over ‘gebrekkig zicht op risico’s bij bestuurders en ambtelijke opdrachtgevers’ en daardoor over ‘bestuurlijk onvermogen tot



• Eerste-orde-veranderingen zijn beperkte aanpassingen binnen de bestaande structuren en



• Tweede-orde-veranderingen zijn fundamentele veranderingen van de bestaande structuren

werkwijzen(organisaties, procedures, middelenstromen etc.)

het nemen van verantwoordelijkheid’. Is dat nu echt veranderd sindsdien? Daar is twijfel over mogelijk: tenminste in gesprekken met de auteur

en werkwijze in een nieuwe aanpak.

van dit essay blijken bestuurders nog steeds niet scherp te hebben wat het DigiNotar risico nu überhaupt was. Natuurlijk hoeft een bestuurder niet alle technische details te beheersen van alle dossiers die hij

Voorbeelden eerste- en tweede-orde-veranderingen

bestuurt, maar zoals we later in dit essay zullen betogen begint bestuurlijke belangstelling met begrip.

We geven enkele tentatieve voorbeelden van denkbare eerste- en tweede-orde-veranderingen relevant voor informatieveiligheid. Op deze plaats dienen deze voorbeelden slechts als illus-

Gebrekkige aandacht niet uniek voor openbaar bestuur

tratie niet als aanbeveling!

Hoogleraar Financial information security Eric Verheul stelt dat de gebrekkige aandacht voor informatiebeveiliging niet uniek is voor het openbaar bestuur: ‘As a mildly amusing anecdote on ma-

Eerste-orde-verandering:

nagement awareness; in 2003 I thought that the so-called vulnerability exploit in Internet Explorer

• invoeren en verplichten van opleidingen informatieveiligheid

was a convincing demonstration of the pitiful state of security in commonly used IT. This exploit

voor een relevante groep medewerkers;

implies that any website has access to the information in a user’s clipboard through Internet Explo-

• expliciet benoemen van informatieveiligheid in portefeuille lid college van B en W;

rer (the internal memory buffer you fill when you use copy-paste in Word, Outlook and the like).

• verplicht stellen van paragraaf ‘informatieveiligheid’ in (gemeentelijke) begroting en

Just think of the implications: any text you copy and paste is readable on the Internet. That could be passwords, parts of sensitive emails, privileged stock exchange information enabling trading

jaarverslag; • het houden van informatie-veiligheidsoefeningen.

with prior knowledge et cetera. And of course by using automatic refreshing webpages, an attacker could continuously monitor the contents of a user’s clipboard! I demonstrated the vulnerability to

Tweede-orde-verandering:

senior management of several organizations but nobody seemed to be really impressed and I finally

• instellen van functie Chief Information Officer (CIO) met de juiste bevoegdheden;

gave up. Their response would typically be that it was a ‘techie’ thing and ‘who could seriously be

• inrichten nieuwe functie ‘audit dienst informatieveiligheid’ bij Rijk, VNG of elders;

interested in my information?’. Baffling. But it explains why security professionals currently still

• wettelijke normering voor niveau informatieveiligheid.

might have a hard time explaining the seriousness of possible targeted attacks at their organization.

216

217

De rapportage van de Onderzoeksraad voor Veiligheid (OVV) stelt natuurlijk dat voor de nood-

In de eerste plaats moet een bij de orde van verandering passende onderscheid gemaakt worden

zakelijke verbetering van de informatieveiligheid niet volstaan kan worden met eerste-orde-ver-

tussen ‘lower-order-learning’ en ‘higher-order-learning’:

anderingen alleen. Met andere woorden er zullen in de visie van de Onderzoeksraad zeker (ingrijpende) tweede-orde-oplossingen noodzakelijk blijken die daarmee bestuurlijke aandacht vergen.



• ‘Lower-order-learning’ wordt ook wel ‘single-loop-learning’ genoemd. Het gaat hier over

De mening van de Onderzoeksraad alleen zal echter geen bestuurder verbazen en daarmee over-

activiteiten die iets toevoegen aan kennis, competenties of routines zonder daarbij de fun-

tuigen want de Onderzoeksraad hecht immers altijd aan tweede-orde-veranderingen.

damentele natuur van de organisatie te veranderen. Mason (1996)3 noemt deze vorm van organisatieleer ook wel non-strategic-learning, waarmee bedoeld wordt dat deze leer meer aan de oppervlakte blijft en niet de strategie van een organisatie aanpast.

Bedacht moet worden dat tweede-orde-veranderingen veel meer energie vergen dan eerste orde veranderingen. Wanneer derhalve kan worden volstaan met de ‘kracht van incrementele verande-



• ‘ Higher-order-learning’ wordt ook wel ‘double-loop-learning’ genoemd. Hier gaat het om de situatie waarin, naast het detecteren en corrigeren van fouten, de organisatie wordt be-

ring’ verdient dat de voorkeur ook al is dan minder groots en meeslepend.

trokken bij het ter discussie stellen van bestaande normen, procedures, beleid en doelen. Mason (1996) noemt dit: strategic-learning.

In het geval van informatiebeveiliging geldt echter dat wie zelf iets beter nadenkt, ook tot de conclusie komt dat informatieveiligheid evident breder is dan alleen het nemen van computer-technische beveiligingsmaatregelen. De maatschappelijke risico’s van onvoldoende informatiebevei-

Het ideaalbeeldbeeld van higher-orde-leren

ligingsmaatregelen maken een bredere oriëntatie noodzakelijk op de niet computer-technische

In veel theoretische beschrijvingen wordt aan higher-order-learning als vanzelfsprekend een

facetten van informatieveiligheid. Het gaat ook om zaken als maatschappelijke impactanalyses,

hogere waarde toegekend dan lower-order-learning. Zo’n positieve insteek inzake higher-or-

daaruit al dan niet volgende inzet op (digitale) weerbaarheid, daarmee samenhangende bestuur-

der-learning zien we terug in Bloom’s klassieke taxonomie van het leren.4 5 Het maken van ana-

lijk verwachtingenmanagement en bestuurlijke keuzes over de aard en omvang van de voorberei-

lyses, het creëren van nieuwe kennis en het evolueren van een organisatie, is in zijn ogen van

ding op de uiteindelijk tot altijd aanwezige kans op informatiecrises.

een andere orde dan enkel het aanleren van feiten en concepten. Higher-order-thinking kost, zo stelt Bloom, meer moeite, vereist meer competenties, maar is uiteindelijk wel waardevoller

Informatieveiligheid vergt derhalve bestuurlijke aandacht en daarmee een tweede-orde-veran-

omdat de capaciteiten die daarmee worden aangeleerd beter van pas komen in nieuwe situaties.

dering, al zou het het alleen maar zijn om bewust en transparant te besluiten dat er niet verder

Het stelt individuen én organisaties beter in staat zich aan te passen aan veranderende situaties.

geïnvesteerd zou moeten worden in informatieveiligheid. Een optie die op onderdelen verfris-

Maar, daartegenover staat dat het in de harde werkelijkheid wel noodzakelijk is om telkens

send en efficiënt zou zijn (zo is er geen reden om exceptioneel veel te investeren in de informa-

de vraag te stellen of de energie die moet worden gemobiliseerd voor higher-orde-leren wel

tieveiligheid van de OV-chipkaart wanneer we die veiligheid daarvan vergelijken met die van de

noodzakelijk is om de geformuleerde doelstellingen te bereiken. Er zijn veel situaties denkbaar

strippenkaart) maar die zeker ook minder voor de hand liggend is als het gaat om de informatie-

waarin voor bepaalde doelgroepen volstaan kan worden met een eerste-orde-leerproces.

veiligheid van vitale diensten. Ten behoeve van het kunnen ontwikkelen van een leerstrategie is het verder noodzakelijk onderscheid De theorie van het leren

te maken tussen de drie niveaus die betrokken zijn bij de veranderopgave op het terrein van de infor-

Laten we derhalve als uitgangspunt nemen in dit essay dat er tweede-orde-veranderingen ge-

matieveiligheid:

wenst zijn in de informatieveiligheid. Er moet dus door de bestuurlijk en ambtelijk betrokkenen



• Bestuurders: eindverantwoordelijk;

op een passende wijze geleerd worden van de incidenten van afgelopen jaren.



• Bestuurlijke omgeving: collega bestuurders en topambtenaren;



• Overheidsorganisatie: de ambtelijke uitvoerende organisatie.

In theorie weten we aardig hoe optimale leerstrategieën vorm moeten krijgen. We zullen de theoretische stappen om tot zo’n leerstrategie te komen hierna doorlopen.

Als voorbeeld: eerste-orde-veranderopgaven vergen vaak een kleinere bestuurlijke component. Het zal dan veelal voldoende zijn om het hoger management in de bestuurlijke omgeving te adresseren. Significante veranderingen die tot stand moeten komen in interactie met de directe omgeving en afstemming met andere partners, belanghebbenden en direct betrokkenen vragen meer om bestuurlijke aansturing van het tweede-orde-veranderproces.

218

219

Bij elk van de twee leerstrategieën maakt de klassieke leerliteratuur dan weer onderscheid in vier leer-

Op institutioneel niveau helpen hier verplichting tot audits en rapportage die dwingen tot confrontatie

stappen, te weten ervaren, interpretatie, integratie en institutionalisatie.6

met de werkelijkheid. - Interpretatie: nadenken over onze ervaringen Ervaring geeft aanleiding tot reflectie, dat wil zeggen het nadenken over wat er is waargenomen en wat er moet gebeuren. Dit is de fase van interpretatie waarin de oordeelsvorming plaats vindt volgens Crossan e.a. (1999)8: ‘Het interpreteren is het uitleggen, door woorden en/of acties, van een inzicht of een idee aan zichzelf of anderen.’ In de praktijk vindt dit plaats door conversaties en dialogen. Wat bij een individu begint, belandt dan beoogd uiteindelijk binnen een groter geheel. Net zoals in de leerstap intuïtie bestaat ook hier verschil tussen eerste- en tweede-orde-leren. Wanneer het niet nodig is de organisatie grondig te vernieuwen, zal het aandragen van kennis voor de interpretatie al gauw voldoende zijn. Indien eerst ook begrip en bewustzijn moet worden aangebracht, zijn interactieve sessies als workshops, debatten en discussies echter een veel betere manier om het gewenste doel te bereiken. Interpretatie wordt gefaciliteerd door onafhankelijke experts die individuen behulpzaam kunnen zijn bij de analyse van de ervaring. Op institutioneel niveau kan dan iets als een planbureau of rijkscommissaris daarbij behulpzaam zijn. - Integratie: bedenken van oplossingen Bewust zijn van en kennis hebben over problemen is evident niet voldoende om ze op te lossen. Het stadium van denken gericht op het ontwikkelen van een antwoord of een plan om het probleem op te

Figuur 1: De klassieke leercirkel van Kolb

7

lossen heet de integratiefase. Om dat te bewerkstelligen gaat het om het bedenken van alternatieve oplossingen en het maken van keuzes. Kennis wordt omgezet in handelingen, instructies en opdrach-

- Concrete ervaring als startpunt

ten. Het integreren gaat over het ontwikkelen van een gezamenlijk, gemeenschappelijk begrip tussen

De literatuur gaat uit van het ervaren van een probleem als eerste stap in het leerproces. Wanneer een in-

individuen. Alternatieve oplossingen die worden bedacht, worden geconfronteerd met bestaande kennis

dividuele actor, met invloed of (doorzettings)macht op basis van ervaring tot een bepaald inzicht komt,

(geabstraheerde conclusies uit eerdere ervaringen). Uiteindelijk ligt de focus op het creëren van nieu-

kan het zijn dat hij de rest van de organisatie daarin mee wil krijgen. In het geval van informatieveilig-

we situaties en coherente en gezamenlijke acties, bijvoorbeeld uitgevoerd door de individuen in de

heid kunnen bestuurders in deze eerste stap bewust worden gemaakt van het belang ervan. Wanneer het

organisatie. Bij het bedenken ontstaan nieuwe ideeën, concepten en plannen, die verandering moeten

over leren in de eerste orde gaat, zal dit niet tot nauwelijks nodig zijn. Pas als ook echt de structuur van

brengen in de bestaande situatie. Dit zal over het algemeen gemakkelijker gaan in het eerste-orde-leren

en de denkpatronen binnen de organisatie moeten worden aangepast, moet van buitenaf worden geïn-

dan in het tweede-orde-leren. Waar andere actoren binnen de organisatie bij de simpelste variant met

vesteerd in het krijgen van ervaring. Dit kan op individueel niveau bijvoorbeeld worden gedaan door

workshops en discussies kunnen worden geactiveerd, zal bij het tweede-orde-leren dieper op de aard

het organiseren van serious games of peergroepen van elkaar te laten leren. Geen betere ervaring echter

van de organisatie moeten worden ingegaan. Ook in deze stap geldt dat integratie wordt gefaciliteerd

dan de eigen ervaring met echte crises.

door onafhankelijke experts die individuen behulpzaam kunnen zijn bij het bedenken van oplossingen. Op institutioneel niveau kan dan iets als een planbureau of rijkscommissaris daarbij behulpzaam zijn.

De zegening van crises

222

Klassiek is het gezegde binnen de wereld van waterschappen: ‘geef ons heden ons dagelijks

Maar pas op voor de woekerende professional

brood en zo nu en dan een watersnood’. Concrete ervaringen als die van de watersnoodramp in

De wet van de woekerend professionaliteit wijst erop dat professionals hun werk altijd beter

1953 of het bewust breed uitgesponnen gevaar van het hoge water in 1995 zijn de beste aanlei-

willen doen, ook al gaat dat ten koste van de effectiviteit en efficiency van het primaire werk

ding voor bestuurlijk leren.

van hun organisatie.

223

- Institutionalisatie: actie ondernemen

Theoretisch is dus niet zo ingewikkeld om te leren over informatieveiligheid: bestuurders hebben

Problemen moeten uiteindelijk ook daadwerkelijk worden opgelost. Dit vergt implementatie of insti-

met DigiNotar en Lektober wel ervaren wat de problemen zijn, zij en hun bestuurlijke omgeving

tutionalisatie van de bedachte oplossingen. Er is dan een nieuwe situatie gecreëerd waarmee de ge-

willen daarom graag geholpen worden bij de interpretatie ervan. Je zou zeggen dat de Taskforce

constateerde problemen naar verwachting zijn opgelost. De cirkel is daarmee rond. Zolang er echter

BID weet wat haar te doen staat: ondersteun bij de interpretatie en integratie richting de organi-

geen sprake is van verankering in de organisatie, is de verandering niet gewaarborgd voor de toekomst.

satie en faciliteer bij de institutionalisatie.9

Tijdens de institutionalisatie wordt de geleerde kennis verankerd in ‘systemen, structuren, procedures en strategie’ (Crossan, 1999). Deze vierde stap onderscheidt zich van het individuele of groepsleren

Wel, ik benoemde al dat bestuurders die ik spreek meestal nog weinig concrete ervaring hebben

doordat er instituties binnen de organisatie ontstaan die uiteindelijk ook voor alle nieuwe leden van

en daarmee niet erg genegen zijn om hard te sturen op betere informatieveiligheid binnen hun

de organisatie van toepassing zijn ook al hebben ze het leerproces niet doorlopen. Indien individuen

organisatie. Het kan dan ook niet verrassen dat informatieveiligheidsprofessionals nog weinig

vervolgens binnen die organisatie, vanuit hun ervaring van problemen, tot nieuwe ideeën of gedachten

enthousiast zijn over de werkelijk gemaakt stappen ter verbetering van de informatieveiligheid.

komen, begint de weergegeven leercirkel eigenlijk weer van voren af aan.

De werkelijkheid verschilt blijkbaar nogal van wat de theorie suggereert. De harde werkelijkheid van bestuurlijke (non-)keuzes In de harde werkelijk moeten bestuurders altijd prioriteren. En dat is lastig. Het is derhalve aantrekkelijk om vooral symbolisch te veranderen en te leren: vele auteurs hebben al gewezen op de neiging van beleidsmakers om zich liever te concentreren op de verkoopbaarheid van beleid dan op de weerbarstige werkelijkheid. De Amerikaanse politicoloog Edelman geldt als de grondlegger van de kritische studie naar het gebruik van symboliek door politici. In 1964 al betoogt hij dat de materie die aan politieke besluitvorming onderhevig is soms te ingewikkeld is om door betrokken partijen volledig begrepen te worden of door betrokkenen als te confronterend jegens de eigen overtuigingen wordt ervaren. In die gevallen wordt de discussie middels symbolen gevoerd die als metaforen fungeren. Hij noemt dan als voorbeelden ingewikkelde discussies over macro-economisch beleid; wie begrijpt nu werkelijk de economische pro’s en contra’s van de vrijemarkteconomie versus allerhande protectionistische maatregelen? Onder de betrokkenen die symbolische strohalmen omarmen zijn ook de bestuurders zelf die de materie eigenlijk niet begrijpen.10 Edelman had het zomaar over informatieveiligheid kunnen hebben. In Nederland zijn Ringeling, Frissen en Noordergraaf vertegenwoordigers van de stroming die met dergelijk begrip het ge- en misbruik van symboliek beschouwt. Ringeling wijst erop dat het bij beleid veel meer gaat om de toekenning van betekenis aan begrippen en verschijnselen dan om te onderzoeken feiten.11 Noordergraaf heeft daar begrip voor op een Edelmaniaanse wijze:

Figuur 2: Een theoretisch model dat leren in het openbaar bestuur beschrijft (merk op dat het model nadrukkelijk in beeld brengt dat de relatie in de praktijk tussen bestuurder en topambtenaren er een is van beïnvloeding niet van commanderen).

224

225

“Het is niet alleen van belang dat we ons bewust zijn van de risico’s die we lopen, we moeten ook onze weerbaarheid vergroten en zorgen dat we over fall back scenario’s beschikken.” Franc Weerwind, Burgemeester Velsen

Wanneer issues technisch en ethisch complex zijn, rest er weinig meer dan symboolpolitiek. Dan wordt de indruk gewekt dat ‘eraan gewerkt wordt’ en dat ‘maatregelen

De geschiedenis van een Taskforce als illustratie

worden genomen’, teneinde burgers en bedrijven het gevoel te geven dat het pro-

Nadat in 2005 onderzocht was dat de voorbereiding van Nederland op de gevolgen van over-

bleem serieus en de oplossing nabij is. De aanpak van het WAO-vraagstuk in de af-

stromingen zwak was, werd besloten tot het instellen van de Taskforce Management Over-

gelopen jaren is daar een goed voorbeeld van. Dat betekent niet dat er helemaal niets

stromingen.16 Deze Taskforce is met enthousiasme, maar met een beperkte analyse van haar

gebeurt. Door de symbolische aandacht kunnen betrokkenen zich bewust worden van

takenpakket aan de gang gegaan. Startpunt was het creëren van bestuurlijke bewustwording

het feit dat ‘het zo niet langer kan’. Naarmate er meer incidenten plaatsvinden, zoals

door onder andere bestuurlijke bijeenkomsten en het maken van simulaties van de effecten

in de landbouw, of er zorgwekkender cijfers, zoals bij de WAO of tijdens Parlementai-

van overstromingen. De opbrengst van deze activiteit leek geslaagd in de zin dat bestuurders

re Enquêtes, naar buiten komen, is de kans op ‘doorbraken’ groter. Het blijft dan de

vaak zeer onder de indruk waren van de effecten van overstromingen die zij niet eerder zo

vraag of de bereikte doorbraak tot daadwerkelijke ‘oplossingen’ leidt, want ‘wicked

onderkend hadden. Het zetten van een volgende stap bleek echter lastig: het treffen van wer-

issues’ laten zich eigenlijk nooit echt oplossen. En als er ‘oplossingen’ zijn, dan zijn

kelijk effectieve maatregelen om de enorme materiële schade te voorkomen was zeer, zeer

ze instabiel en tijdelijk.12

kostbaar en voor een groot deel de discretie van externe partijen. Een complicerende factor was verder dat de verantwoordelijk staatssecretaris om politieke redenen niet kon meegaan

Frissen stelt dat de overheid zich in haar beleidsvorming bedient van taboes, metaforen en my-

met het bevorderen van de zelfredzaamheid van burgers, die noodzakelijk is om mensenle-

then en dat zij bol staat van de retoriek en rituele uitspraken.

vens effectief te redden; in haar beleving was het aan de overheid om voor veiligheid van haar

13

burgers zorg te dragen. Er was met andere woorden niet tijdig onderkend dat voor het slagen Maar de crisis in betekenisgeving en zingeving uit zich ook geheel contrair. Vaak

van het project essentieel tweede-orde-veranderingen moesten worden doorgevoerd, zoals

zien we dat de gevoelde noodzaak tot transformatie tot uiting komt in een repertoi-

verandering van de bouwwijze van vitale infrastructuur in Nederland en een paradigmashift

re van beheersing en controle. Van de antropologie weten we dat een samenleving

van de rampenbestrijding waarbij zelfredzaamheid de basis zou moeten worden. Omdat geen

mythes kent en dat deze van tijd tot tijd door rituelen bevestiging moeten krijgen.

draagvlak was bij de opdrachtgevers op rijksniveau voor deze tweede-orde-veranderingen

Als een samenleving cultureel in verwarring, of sterker nog in crisis is, dan zien we

had de Taskforce een onmogelijke opdracht om deze wel elders binnen het openbaar be-

dat mythes aan betekenis verliezen en dat in reactie daarop de rituelen intensive-

stuur te bewerkstelligen. Uiteindelijk werd halverwege de looptijd van de Taskforce impliciet

ren. Naarmate de overtuiging dat het opperwezen de regen zendt sterker ondermijnd

besloten tot het bijstellen van de doelstelling; het eindresultaat was niet meer een betere

raakt, neemt het aantal regendansen toe. Naarmate het politieke primaat meer wordt

voorbereiding, maar het opleveren van overheidsplannen en een eindoefening passend bij de

gerelativeerd, neemt de roep om het herstel ervan toe. Naarmate we beter beseffen

bestaande rampenbestrijdingsorgansatie. Het eindresultaat was met andere woorden terugge-

dat de samenleving complexer wordt en het beleid zijn greep op de samenleving ver-

bracht tot een eerste-orde-veranderopgave. De plannen en de eindoefening zijn opgeleverd,

liest, introduceren we VBTB en andere ‘planning en control’ rituelen. De semantiek is

maar tot een werkelijke verbetering van de voorbereiding op overstromingen heeft de Task-

veelzeggend. We spreken van afrekenen en introduceren daarmee een begrip uit maf-

force niet kunnen bijdragen. Het tweede-orde-niveau van veranderen is niet bereikt, omdat de

fia-kringen waar het een liquidatie betekent. We koesteren transparantie en oogsten

direct betrokken organisaties weliswaar meer inzicht hebben gekregen in de overstromings-

formulieren en bureaucratie.14

risico’s en maatregelen, maar deze kennis en ervaring niet hebben verwerkt in een nieuwe aanpak en werkwijze. Na de Taskforce zijn deze organisaties weer overgegaan tot de gebrui-

Juist na incidenten wordt die neiging tot symbolisch leren verstrekt door de risico-regelreflex: er

kelijke ‘orde van de dag’, ofwel de werkwijze die voor deze Taskforce van toepassing was.

moet meteen na een incident gehandeld worden om de maatschappij (feitelijk media en volksvertegenwoordiging) gerust te stellen.15

Kijkend naar eerdere opgaven gericht op bestuurlijk ervaringsleren is het grote gevaar dat bewuste besluitvorming over de verbetering van de informatieveiligheid vervalt tot het snel en symbolisch wegzetten van verbetertrajecten op ambtelijk niveau. De nadrukkelijke opdracht die de Minister aan de Taskforce BID heeft meegegeven om informatieveiligheid bestuurlijk op de agenda te brengen en daar te behouden is daarmee een lastige.17

228

229

De agenda voor een beter leervermogen op het gebied van informatieveiligheid

Diegenen die informatieveiligheid een warm hart toedragen moeten derhalve eerst echt duidelijk maken

Het bovenstaande maakt duidelijk dat een agenda voor een beter leervermogen tenminste twee hoofd-

wat er nu mis kan gaan. En wel op een wijze die burgers, buitenlui en bestuurders begrijpen.

stappen kent:

• Niets zal er werkelijk gebeuren zolang bestuurders en hun omgeving niet werkelijk het risico van

• Ten tweede zal de integratiestap concreet in beeld moeten worden gebracht. Als er geen realistische oplossing voorhanden is of lijkt, zal het openbaar bestuur snel vluchten in symbolisch handelen.

informatieonveiligheid inzien. Het voorbeeld van de Taskforce Management Overstromingen hierboven laat zien dat zelfs als bestuurOver de relatie tussen bestuurlijk en ambtelijk leren

ders overtuigd raken van de impact van een veiligheidsrisico zij wanneer er geen realistische oplossing

De Taskforce gaat uit van de gedachte dat het creëren van draagvlak voor nieuwe kennis bij

voorhanden is toch weer terugvallen op symbolisch leren. Het is terecht dat bestuurders de afweging

bestuurders essentieel is om de rest van de organisatie mee te krijgen in de gewenste richting.

maken dat er grenzen aan de voorbereiding op zeldzame incidenten is. Idealiter wordt dat besluit echter

Dit idee wordt onderstreept door bestuurskundig onderzoek van Eva M. Witesman en Charles

wel transparant genomen zodat de maatschappij zelf kan kiezen voor eigen voorbereiding.

R. Wise (2012).18 Trainingen op het gebied van democratische processen, zo blijkt uit de daarop gerichte studie, hebben pas echt effect en rendement als bestuurders dit proces ondersteunen

De opgave (voor bijvoorbeeld de Taskforce BID) is daarmee om de discussie over de voorbereiding op

en medewerkers (lees: ambtenaren) voor die trainingen motiveren. Overigens heeft het niet

informatie-incidenten zo te voeren dat er ruimte is voor een bewuste en transparante afweging op welke

alleen met motivatie te maken. Ook geld speelt hierin een rol. Het zijn, zo bleek al uit onder-

punten er wel en niet door het openbaar bestuur verbeterinitiatieven genomen worden.

zoek van Kettl et al (1996)19 en Wise et al (2007)20, de bestuurders in het openbaar bestuur die verantwoordelijk zijn voor het maken van belangrijke beslissingen over ‘trainingsprioriteiten’ die gefinancierd, geïnitieerd of aangemoedigd worden. Zonder de trainingen of opleidingen van medewerkers (individueel leren) is echte verandering niet haalbaar, zo schrijven Witesman en Wise in hun artikel (pagina 711): ‘Training van ambtenaren is een noodzakelijke voorwaarde om een effectieve overheidshervorming te bewerkstelligen’. Het onuitgesproken standpunt ‘Het is hier veilig, mij kan niets gebeuren, ik voldoe aan het veiligheidsvoorschriften’ is één van de grootste valkuilen voor bestuurlijke besluitvorming over veiligheidsbeleid. Het leidt enerzijds tot disproportionele eerste-orde-verandering (nieuw veiligheidsbeleid kost meestal niet ontzettend veel meer maar levert meestal helemaal niets op zodat de balans negatief is) en anderzijds tot het vermijden van werkelijke transparante keuzes die meer veiligheid tegen verrassend vaak minder kosten opleveren. In algemene zin is uniek voor ‘veiligheidsleren’ dat de dagelijkse werkpraktijk geen of niet voldoende prikkels bevat die de noodzaak van het tweede-orde-leren duidelijk maken. Veiligheidsrisico’s zijn immers verborgen. Voorschriften leveren wel een bijdrage aan de veiligheid, maar kunnen (zeker op de langere termijn) niet waarborgen dat er geen onveilige situaties ontstaan. Veiligheid start met het te onderhouden besef welke risico’s en gevaren er zijn, het zien en onderkennen hoe gevaarlijke situaties kunnen ontstaan, welke omstandigheden niet gewenste ontwikkelingen beïnvloeden en hoe moet worden opgetreden om de gewenste condities te kunnen beheersen. Veiligheid impliceert daarmee kennis en inzicht in de aanwezige omstandigheden en het vermogen om zelfstandig en adequaat in deze omgeving te kunnen ingrijpen of dat bewust en transparant niet te doen.

230

1 Hoogleraar Financial information security Eric Verheul op zijn website www.keycontrols.nl. 2 Reactie op het onderzoeksrapport van de Onderzoeksraad voor de Veiligheid inzake “Het DigiNotar-incident, waarom digitale veiligheid de bestuurstafel te weinig bereikt”, ministerie van BZK, 12 november 2012. 3 Mason, D. (1996). Leading and managing the expressive dimension: Harnessing the hidden power source of the nonprofit sector. San Francisco: Jossey-Bass. 4 Bloom, B.S. e.a. (1956). Taxonomy of educational objectives: the classification of educational goals; Handbook I: Cognitive Domain. New York: Longman. 5 Anderson, L. & Krathwohl, D.A. (2001). Taxonomy for Learning, Teaching and Assessing: A Revision of Bloom’s Taxonomy of Eductional Objectives. New York: Longman. 6 Lawrence, T., Mauws, M., Dyck, B., & Kleysen, R. (2005). The politics of organizational learning. In Academy of Management Review. 30(1), p. 180-191. 7 Kolb, D., (1981). Learning styles and disciplinary differences. In A. Chickering. The Modern American College (pp. 232-255). San Francisco: Jossey-Bass Inc. 8 Crossan, M., Lane, H. & White, R. (1999). An organizational learning framework: From institution to institution. In Academy of Management Review. 24(3), p.522-537 9 Theoretisch gesproken worden specifiek voor gemeenten ook die twee laatste stappen al deels geregeld. Immers het Kwaliteitsinstituut Nederlandse Gemeenten (KING) heeft een Informatiebeveiligingsdienst opgericht dat als drie ‘concrete doelen’ heeft benoemd ‘kennisontwikkeling, kennisdeling en kennisvermeerdering’. De IBD richt zich echter primair op een andere doelgroep: ICT-professionals. Het spreekt voor zich dat het belangrijk is om de inspanningen van de Taskforce BID en de IBD goed op elkaar te laten aansluiten. 10 M. Edelman, 1964. 11 Ringeling 1993, p. 249. 12 Noordegraaf 2002. 13 Geciteerd in Boutellier 2003 , p. 221. 14 Frissen in zijn afscheidsrede voor Roel in ‘t Veld als decaan van de NSOB (www.nsob.nl). 15 Van Tol, Helsloot en Meertens, Veiligheid boven alles? Beschouwingen over de risico-regelreflex, Boom Juridische uitgevers, 2011. 16 Kabinetsreactie Taskforce Management Overstromingen, 3 juni 2009. 17 Ook al omdat de brief van de minister veel geruststellende technische maatregelen beloofd. 18 Witesman, E., Wise, C. (2012). The Reformer’s Spirit: How Public Administration Fuel Training in the Skills of Good Governance. In Public Administration Review 72(5). pp. 710-720. 19 Kettl, D., Ingraham, P., Sanders, R. & Horner, C. (1996). Civil Service Reform: Building a Government That Works. Washington DC: Brookings Institution Press. 20 Wise, C. et al (2007). Strategic Assessment of the Present State of Public Administration Education and Training in Ukraine and Prospects for Launching a Capacity Building Institution for Public Officials (http.glennschool.osu.edu/faculty/brown/home/FinalReport.pdf (accessed June 15, 2012).

231

14.

Sensitiviteit voor informatieveiligheid katrien termeer

Hoogleraar bestuurskunde Wageningen Universiteit

Unknown unkown ‘We also know there are known unknowns; that is to say we know there are some things we do not know. But there are also unknown unknowns – the ones we don’t know we don’t know.’ Met deze uitspraak tijdens een persconferentie in 2002, introduceerde Donald Rumsfeld het concept van de unknown en het belang daarvan voor het veiligheidsbeleid. Sommige bedreigende gebeurtenissen, de zogenaamde known unknown, zijn deels bekend maar onvoorspelbaar in wanneer en hoe ze zich zullen manifesteren. Denk bijvoorbeeld aan de mogelijkheden dat externen kritische infrastructuur (sluizen, gemalen, centrales) van afstand bedienen of dat derden inbreken op gegevens van de belastingheffing. Andere gebeurtenissen, de zogenaamde unknown unknown, zijn geheel onvoorzien totdat ze zich manifesteren en zullen altijd worden ervaren als verrassingen. Naast vele bekende risico’s die lastig zijn maar prima op een planmatig manier zijn aan te pakken, vertoont het vraagstuk aangaande informatieveiligheid ook vele onbekende dreigingen (unknown). Deze zijn niet te vangen in plannen en protocollen. We kennen ze namelijk niet of maar gedeeltelijk. Ook bij het verkiezingsproces is het absoluut noodzakelijk dat bijvoorbeeld identiteitsfraude wordt tegengegaan. Doorschieten in een fatalistische houding is echter ook niet wenselijk. Het alternatief is een benadering die gericht is op het verhogen van de sensitiviteit voor informatieveiligheid, oftewel gevoeligheid voor de vele dimensies die de veiligheid van in-

233

formatie beïnvloeden. In dit essay maak ik gebruik van een drietal Engelstalige concepten om de

doordat het aan de ene kant allerlei nieuwe mogelijkheden biedt voor sturing en dienstverlening,

sensitiviteit nader te duiden en om aangrijpingspunten te bieden voor handlingsperspectieven.

maar aan de andere de maatschappelijke verhoudingen fundamenteel verandert. Terwijl conven-

Informational governance helpt het fenomeen van informatieveiligheid in een bredere context te

tionele overheidssturing sterk leunt op centrale autoriteit en geloof in de controle over informa-

plaatsen en daarmee de beperkingen van een op controle gerichte benadering te begrijpen. Het

tiestromen, benadrukt informational governance dat iedereen stuurt en dat controle over infor-

mechanisme van securitization geeft inzicht in de wijze waarop het veiligheidsframe leidt tot

matiestromen een illusie is. De voorbeelden zijn alom aanwezig. Jonge hackers slagen er keer

zowel in- als uitsluiten. Mindfulness, biedt tenslotte aangrijpingspunten voor organisatiecultu-

op keer in om de kwetsbaarheid van ICT-systemen bloot te leggen. Incidenten als Wikileaks en

ren gericht op het alert zijn op onverwachte dreigingen en het daar flexibel op inspelen.

Climategate leggen de zere vinger op veranderendegezagsposities van staande instituties, zoals overheden, wetenschap en media. Wat minder bekend zijn de toenemende afhankelijkheden

Informational governance

van bedrijven als Google, Apple of Microsoft die cruciale informatiesystemen voor publieke

Het eerste concept is informational governance (2). Kern daarvan is dat informatie niet alleen

dienstverlening ontwerpen en beheren. Aan de andere kant, maakt ICT ook allerlei nieuwe vor-

handig is voor allerlei governance processen, maar dat informatie die governance processen

men van sturing steeds eenvoudiger. In Amsterdam ontwikkelen bewoners zelf een app om het

en de daarbij behorende instituties ook ingrijpend verandert. Nog niet zo heel lang geleden

fietsverkeer wat veiliger te maken. Internationaal opererende bedrijven ontwikkelen samen met

voltrokken veranderingen in de maatschappij zich volgens logische, min of meer voorspelbare

milieuorganisaties een certificeringsysteem om milieuvriendelijke productie te bevorderen. On-

patronen. Overheden, bedrijven, wetenschappers, maatschappelijke organisaties en burgers ver-

der invloed van ICT wint het organiseerprincipe van zelforganisatie aan betekenis. Overheden

vulden duidelijk herkenbare rollen. Governance, in de betekenis van sturing van maatschappe-

spelen hier ook stap voor stap op in met onder andere een open data beleid.

lijke processen in een gewenste richting, was vooral het domein van de overheid, die vanuit haar machtsrol grip hield op maatschappelijke ontwikkelingen, plus de informatiestromen en –pro-

Informatie, informatiestromen en informatienetwerken zijn dus niet alleen een middel voor

cessen daarachter. De samenleving van nu lijkt in weinig meer op een overzichtelijk geordende

overheden voor het beter ontwikkelen en uitvoeren van beleidsprocessen, maar vormen tevens

samenleving. In de huidige wereld is het steeds moeilijker te voorspellen waar veranderingen

een drijvende kracht voor de transformatie van vertrouwde gezagsverhoudingen. Informatie-

ontstaan en wie de drijvende krachten daarachter zijn. Informatie die afkomstig is van gevestig-

veiligheid lijkt sterk gekoppeld aan het eerste aspect van informational governance, namelijk

de organisaties heeft aan kracht ingeboet, terwijl een uiting van één individu via social media

als middel om informatietechnologie te benutten om allerlei beleidsprocessen effectiever en

een schokgolf met flinke impact kan veroorzaken.

efficiënter te maken. Wanneer die systemen dan zijn opgezet, komt de vraag naar beveiliging van deze systemen aan de orde. Het aspect van veranderende gezagsverhouding lijkt minder aan

Dat governance een complex samenspel van actoren en informatieprocessen is geworden, komt

de orde. Veiligheid van informatiesystemen is echter alleen mogelijk wanneer veranderde ge-

doordat er tegelijkertijd een tweetal samenhangende maatschappelijke ontwikkelingen gaande

zagsverhoudingen serieus worden genomen en uitgangspunt vormen van beveiligingstrategieën.

is. Ten eerste vindt er een belangrijke verschuiving plaats in het openbaar bestuur, van nationale naar supranationaal (EU, WTO) en subnationaal (stedelijke netwerken, provincies, waterschap-

Wat is er vanuit de bril van informational governance te zeggen over de positie van nieuwe insti-

pen). Op veel terreinen heeft de overheid al dan niet vrijwillig een stap teruggedaan en heeft zij

tuties, zoals het Nationaal Cyber Security Centrum (NCSC), het Centrum voor Informatiebevei-

verantwoordelijkheden overgedragen aan bedrijven, maatschappelijke organisaties en burgers.

liging en Privacybescherming (CIP) of de Informatiebeveiligingsdienst voor gemeenten (IBD)?

In dit veranderde landschap zijn ook veel samenwerkingsconstructies ontstaan met nieuwe ver-

Zijn ze een uiting van een laatste poging tot control of spelen ze juist slim in op nieuwe gezags-

bindingen tussen schaalniveaus en tussen publiek en privaat. Ten tweede zijn we getuige van de

verhoudingen? Wanneer ICT de mogelijkheden voor zelforganisatie vergroot, wat is dan de be-

materialisatie van de informatiesamenleving (Castells 1996/1997). Technologische ontwikke-

tekenis van het voorstel om informatieveiligheid aan te pakken via verplichtende zelfregulering?

lingen creëren de mogelijkheden voor oneindig grote datasystemen, snelle informatiestromen en

Sluit dit voorstel goed aan op institutionele veranderingen of is het eerder een voorbeeld van het

complexe informatienetwerken. Dankzij internet en de komst van sociale media hebben mensen

om zeep helpen van lopende zelforganisatie initiatieven? Het concept informational governance

niet alleen steeds meer toegang tot informatie maar kunnen ze deze ook beïnvloeden.

biedt aangrijpingspunten om deze strategieën vanuit een breder perspectief te evalueren.

Op de kruising van deze twee belangrijke ontwikkelingen is het concept ‘informational go-

Securitization

vernance’ ontstaan (Mol, 2008). Dit concept refereert aan het idee dat informatietechnologie

Het tweede concept is securitization, ook wel aangeduid als verveiliging. Wanneer veiligheid,

de instituties, de bestuurlijke processen en de bestuurlijke praktijken fundamenteel verandert,

variërend van terrorisme bestrijding tot overstromingsrisico’s, op de politieke agenda komt, kan

234

235

“Het rijk werkt als jaren met het uitgangspunt dat het lijnmanagement verantwoordelijk is voor de beveiliging van de eigen informatie, processen en systemen.” Arnoud van Petersen, rijksbeveiligingsambtenaar

(Rijks-BVA)

dat het mechanisme van securitization in werking zetten. Securitization is een proces waarbij de

4. Mindfullness

overheid zich legitimatie verschaft voor het inzetten van bijzondere middelen en bevoegdheden

Het laatste concept, mindfulness, is op het eerste gezicht van een hele andere orde. De oorsprong

die nodig zijn om het land (of iets anders dierbaars) te verdedigen tegen een externe dreiging

van mindfulness of achtzaamheid ligt in het Boeddhisme. Het verwijst naar een vorm van medita-

(Balzacq, 2005). Het mechanisme ontvouwt zich via een viertal stappen (Warner, 2008): na-

tie die gericht is op het activeren van het bewustzijn van sensaties en situaties in het hier en nu. In

ming, framing, oplossingen voorstellen en legitimeren. De eerste stap is naming, oftewel het

2001, nog voordat mindfulness een wereldwijde hype werd, introduceerde de Amerikaanse orga-

benoemen van het object dat beschermd moet worden. Omdat het belangrijk is om een urgentie-

nisatiepsychologen Weick and Sutcliffe het concept in hun boek over het betrouwbaar managen

gevoel te creëren gaat dat vaak gepaard met een verwijzing naar existentiële waarden: de levens

van onverwachte dreigingen. Ze beargumenteren dat traditionele op rigiditeit en controlegerichte

van mensen, de privacy van weerloze patiënten of de kwetsbaarheid van cruciale infrastructuur.

werkwijzen tekort schieten in het omgaan met ‘unknown unknown’. Dergelijke werkwijzen zou-

Framing is de tweede stap en betreft het kaderen van de situatie als een issue van veiligheid. Het

den zelfs een averechts effect kunnen hebben, die de veiligheidssituatie eerder verslechteren dan

is gericht op het maken van een overtuigend verhaal dat een veelal gesimplificeerd beeld biedt

verbeteren. Als alternatief pleiten ze voor het creëren van een cultuur van mindfulness in organi-

van de oorzaak van de dreiging. Die oorzaak kan zowel een externe vijand zijn (terroristen,

saties. Hiermee ontstaat een voedingsbodem voor het tijdig ontdekken en het flexibel corrigeren

klimaatverandering) of een interne factor (onverantwoord gedrag; bezuinigingen) als een com-

van fouten en dreigingen, nog voordat ze escaleren. Het biedt organisaties de kans om op een

binatie van beide. De derde stap betreft de roep om een oplossing of remedie. Deze kan bestaan

hoogwaardig en betrouwbaar niveau te presteren, zonder complexiteit te reduceren. Mindfulness

uit het wegnemen van de bedreiging of het aanpassen aan de gevolgen. Tot slot moet de oplos-

is dan geen individueel meditatief proces, maar een actief sociaal proces van alert waarnemen

sing gelegitimeerd worden. De uitdaging is dan om maatregelen geaccepteerd te krijgen, die

en flexibel anticiperen. In eerder werk (1993, 1995) heeft Weick mindfulness ook wel aangeduid

onder gebruikelijke omstandigheden niet acceptabel zouden zijn. Dit gaat regelmatig gepaard

met het organiseren van betekenisgeving. Via voorbeelden, variërend van nucleaire instellingen

met het buitensluiten van kritische actoren, het niet in overweging nemen van alternatieven,

tot vliegdekschepen, toont hij aan dat wanneer processen van betekenisgeving worden bedreigd,

het bagatelliseren van onzekerheden of het tijdelijk buiten werking stellen van gebruikelijke

mensen niet meer adequaat kunnen inspelen op onverwachte gebeurtenissen met alle consequen-

zorgvuldigheidsprocedures. Crisismetaforen, zoals gevaar, acute dreiging of strijd, spelen een

ties van dien.

belangrijk rol in deze legitimatiefase. De nasleep van 9/11 en het daarop volgende frame van de ‘oorlog tegen het terrorisme’ legitimeerden bijvoorbeeld het verlenen van vergaande bevoegd-

Een bekend voorbeeld betreft zijn analyse van de brand bij Mann Gulch in 1949 (Weick, 1993).

heden aan de NSA.

Het verhaal gaat als volgt. Om vier uur ‘s middags brengt een helikopter vijftien brandweerlieden, die elkaar nauwelijks kennen, naar de plek van een bosbrand. Ze krijgen te horen dat

Het securitization mechanisme is belangrijk om veiligheidsbeleid te ontwikkelen. De stappen

het een zogenaamde ‘tien uur’ brand is, wat betekent dat om tien uur de volgende dag de brand

helpen om een onderwerp op de politieke agenda te krijgen. Het is echter ook een mechanisme

geblust zal zijn. Voor de brandweermannen betekent dit dat het een eenvoudige brand is waarop

dat zichzelf in de staart kan bijten. Securitization is altijd een discours dat uitsluit. De onge-

ze een routine aanpak kunnen loslaten. Op de plek aangekomen blijkt de brand veel explosiever

bruikelijke maatregel om het detentiecentrum Guantanomo Bay op te richten, maakt pijnlijk

en levensbedreigend. De voorman is de eerste die dat meteen door heeft. Hij communiceert dat

duidelijk dat wat voor de een veilig is, dat voor de ander niet hoeft te zijn. Sterker nog, wat voor

niet en gaat meteen over tot actie. Tot ieders verbijstering steekt hij zelf het vuur rondom aan

de een de oplossing is kan voor de ander juist een dreiging zijn. Dit kan resulteren in een counter

en commandeert hij zijn mensen om hun materiaal af te gooien en te gaan liggen. Omdat ze

securitization discours. Inenting tegen baarmoederhalskanker, dijkverzwaring of het elektro-

denken dat hij door paniek is bevangen, volgt niemand het commando op. De voorman overleeft

nisch patiëntendossier zijn wat dat betreft voorbeelden dichter bij huis. Een ander probleem is

de brand, maar 13 brandweermannen komen om het leven. Weick analyseert deze tragedie als

de per definitie te simpele weergave van de situatie. Dit is misschien nodig om de handen op

voorbeeld van geblokkeerde betekenisgeving. Er was geen structuur en cultuur aanwezig om

elkaar te krijgen, maar draagt ook het risico in zich dat de oplossingen van vandaag de proble-

onverwachte dreigingen alert waar te nemen en daar flexibel op in te spelen. Op de voorman na

men voor morgen zijn. Rijkswaterstaat heeft bijvoorbeeld met de nodige drama uitgedragen dat

zijn de brandweerlieden na de ‘labeling’ van het vuur als tien uur brand, gestopt met het herijken

ze via grote investeringen zorgdraagt voor droge voeten. Voor een deel is dat ook goed gelukt,

van hun waarnemingen en daaraan gekoppelde routines. Omdat mensen elkaar niet kenden en

maar een neveneffect is dat alle zelfredzaamheid bij burgers is verdwenen; houten parket en

dus ook niet vertrouwden was er geen sprake van een sociaal proces met respectvolle interactie.

zware meubels verhogen de schade voor bewoners in overstromingsgevoelige gebieden en be-

De acties van de voorman kregen ook geen navolging, omdat ze haaks stonden op de identiteit en

strate tuinen verhogen het risico van wateroverlast.

beroepseer van de brandweermannen.

238

239

Uit de vele artikelen en boeken van Weick, hebben wij een zevental condities afgeleid die organisa-

van de situatie en het daarmee verbonden beleid, bevestigen. Alhoewel niet altijd even com-

ties helpen beter te anticiperen op de zogenaamde unknown unknown (Termeer en van den Brink,

fortabel, is het beter om te compliceren en te twijfelen dan te simplificeren en normaliseren.

2013). Deze condities zijn:

g. Ontwikkel een attitude van wijsheid. Tot slot is er de paradox dat kennis en onwetendheid

a. Zorgen voor heldere identiteiten. Het proces van betekenisgeving is altijd geworteld in

gezamenlijk optrekken. Des te meer we van een complex systeem te weten komen, des

de identiteit van mensen, organisaties of staten. Wanneer identiteiten worden beschaamd,

te groter de onzekerheden, twijfels en vragen. Het vergt een houding van wijsheid om te

bedreigd of vervaagd, kunnen mensen zich afsluiten van hun omgeving, stoppen met het

navigeren te midden van ambiguïteit, onzekerheden, dreigingen en multipele interpretaties.

sociale proces van betekenisgeving en terugvallen op oud verstard gedrag.

Wijsheid betreft het ontwikkelen van betrouwbare verhalen over wat er gaande is en hoe daarop te reageren, die gezien het bovenstaande meer gebaseerd zijn op plausibiliteit dan



b. Waardeer ervaringen uit het verleden. In situaties van onzekerheden met grote gevolgen

op waarschijnlijkheid.

maken organisaties graag gebruik van plannen. Echter, omdat mensen niet goed zijn in voorspellen, vooral niet als het gaat om unknown unknown, is het essentieel gebruik te

Reflectie

maken van ervaringen uit het verleden. Deze bieden gevalideerde ervaringen die ook be-

Dit essay startte met een pleidooi voor het verhogen van de sensitiviteit voor informatieveiligheid.

langrijk kunnen zijn voor het omgaan met nieuwe dreigingen. Stimuleer dat mensen deze

Maar wat leveren deze abstracte concepten nu op aan concrete handelingsperspectieven voor be-

ervaringen blijven herinneren, verzamelen en uitwisselen.

stuurders en beleidsmakers? Als sensitiviteit voor de unknown zo belangrijk is, hoe is de sensitiviteit daarvoor dan te vergroten? Het antwoord daarop is even voor de hand liggend als ongrijpbaar,



c. Blijf in beweging. Mindfulness of betekenisgeving is een actief proces. Waarnemingen ko-

namelijk het organiseren van reflectie!

men niet van zelf binnen, maar moeten actief ontdekt en geïnterpreteerd worden. Daarvoor is het belangrijk dat mensen in beweging blijven en zich niet beperkt voelen door stan-

Informational governance herinnert ons eraan dat informatietechnologie niet alleen handig is voor

daardprocedures, dichtgetimmerde plannen of politiek correcte statements.

het verbeteren van onze beleidsprocessen, maar dat het de instituties, de bestuurlijke processen en de bestuurlijke praktijken fundamenteel verandert. Voor het verhogen van sensitiviteit voor infor-





d. Interacteer respectvol. Betekenisgeving is altijd een sociaal proces. Vooral in ambigue com-

matie- veiligheid is het daarom belangrijk om een breder oog te hebben voor deze veranderende

plexe situaties is het belangrijk dat mensen hun multipele interpretaties blijven uitwisselen

maatschappelijke verhoudingen. De volgende reflexieve vragen kunnen daarbij helpen: Hoe zijn de

om beter te begrijpen wat er gaande is en hoe daarop te reageren. Meer mensen zien en

machtsverhoudingen in dit specifieke beleidsdomein veranderd door informatietechnologie, -stro-

weten meer dan een. Respectvolle interacties zijn hiervoor een belangrijke voorwaarde:

men en netwerken? Welke partijen hebben hun gezagspositie zien toenemen en welke partijen drei-

vertrouw de waarnemingen van anderen en ben bereid acties daarop te baseren; rapporteer

gen buiten de boot te vallen? Wie hebben een grote invloed op cruciale informatiesystemen? Welke

eerlijk over je eigen bevindingen zodat anderen ze kunnen gebruiken; respecteer je eigen

zelforganiserende processen zijn al gaande om informatie te benutten voor governance processen?

overtuigingen en waarnemingen.

Welke zelforganiserende processen zijn al gaande om informatiesystemen te beveiligen? Et cetera.

e. Stimuleer improvisaties en experimenten. Betekenisgeving is een continue proces dat nooit

Securitization of het verveiligen van een issue kan een goede strategie zijn voor het verkrijgen

gereed is. Het heeft dus geen zin om te wachten met acties tot we alles weten. Experimenten

van politieke en maatschappelijke aandacht voor informatieveiligheid en voor het legitimeren van

en improvisaties kunnen helpen om kleine dingen uit te proberen en op die manier meer

onconventionele maatregelen. Echter securitization draagt ook het risico in zich van uitsluiting

te weten te komen over het systeem als geheel. Dit is contra intuïtief voor velen van ons,

en daarmee dus van het verminderen van sensitiviteit voor de unknown unknown. Reflexiviteit

omdat we zijn opgegroeid met het spreekwoord van eerst denken en dan pas doen.

betreft het alert zijn op het optreden van het mechanisme van securitization; terughoudendheid bij het bewust activeren van securitization of onderdelen daarvan; en extra oplettendheid voor counter



f. Organiseer zorgvuldige waarnemingen en regelmatige updates. Ook wanneer mensen een

securitization discourses omdat ze kunnen wijzen op belangrijke onderstromen.

redelijk beeld hebben over wat er gaande is, blijft het belangrijk deze beelden regelmatig te

240

updaten. Kleine momenten van onoplettendheid of niet alert zijn, kunnen grote consequen-

Van de drie behandelde concepten, is het concept van mindfulness of betekenisgeven het meest

ties hebben. Mensen zijn geneigd om vooral die waarnemingen te selecteren die hun beeld

direct gekoppeld aan het verhogen van sensitiviteit voor veiligheid. Wij hebben een lijst gepresen-

241

“Het meest hardnekkige onderwerp bij informatiebeveiliging is de zogenaamde ‘zachte’ kant, het gedrag van collega’s.” Johan Krul,

Foto: jan kranendonk / Shutterstock.com

Gemeentesecretaris Súdwest-Fryslân

teerd met daarin een zevental condities die organisaties helpen om hun sensitiviteit te vergroten, zo-

Bronnen

wel door dreigingen alerter waar te nemen als door daar flexibeler op in te spelen. Het is natuurlijk wel nodig om deze zeven criteria, te weten waarborging van heldere identiteiten, waardering voor

Balzacq, Thierry (2005), ‗The Three faces of Securitization‘, European Journal of International

ervaringen uit het verleden, in beweging blijven, respectvolle interacties, stimulerende omgeving

Relations, 111 (2): 171-201

voor improvisaties en experimenten, organisatie van zorgvuldige waarnemingen en regelmatige updates en een attitude van wijsheid te vertalen in termen die de eigen organisatie aanspreken. Op

Castells, M. (1996/1997), The Information Age: Economy, Society and Culture, 3 volumes, Malden

basis daarvan is het mogelijk om op een interactieve en reflexieve (niet diskwalificerende) manier

(Mass)/Oxford: Blackwell

sterktes en zwaktes op te sporen van een organisatie of van een voorgestelde veiligheidsmaatregel en verbeteringen aan te brengen.

Mol, A.P.J. (2008) Environmental Reform in the Information Age. The Contours of Informational Governance, Cambridge/New York: Cambridge University Press

Dit is een hele waslijst aan reflexieve vragen. De vraag is dan ook of dat allemaal moet en of het ook realistisch is? Of met andere woorden, is dit niet meer iets voor kerncentrales of vliegdekschepen

Termeer, C.J.A.M. & van den Brink, M.A. (2013). Organizational conditions for dealing with the

dan voor overheden die gewoon hun informatieveiligheid willen vergroten? Ik denk dat het niet al-

unknown unknown: illustrated by how a Dutch water management authority is preparing for clima-

leen realistisch is, maar ook noodzakelijk. Natuurlijk vergt het investeringen, niet zozeer in termen

te change, Public Management Review, 15(1), 43-62

van tijd of financiën, maar veel meer in termen van cultuur en gedrag. De concepten bieden een contramal voor de op controle gerichte wijze van werken met protocollen en handreikingen, die bij

Warner, J.F. (2008) The politics of flood insecurity. Framing contested river management projects,

overheden gebruikelijk is, zeker ook op terreinen van het reduceren van risico’s. Het is een andere

Proefschrift Wageningen Universiteit

bril om naar risico’s te kijken, die tot andere oplossingen zullen leiden. Weick, K. E (1993) The Collapse of Sensemaking in Organizations: The Mann Gulch Disaster. Tot slot rest de vraag wat dit alles nu betekent voor informatieveiligheid? Wanneer de sensitiviteit

Administrative Science Quarterly, 38: pp628–52

is verhoogd, is dan ook het issue van informatieveiligheid opgelost? Het antwoord is nee. Informatieveiligheid is namelijk niet een welomschreven probleem dat kan worden opgelost. Wanneer

Weick, K. E (1995) Sensemaking in Organizations. Thousand Oaks, CA: Sage

mensen beweren dat de informatiesystemen volledig veilig zijn, is dat alle reden tot groot wantrouwen. Het is zelfs riskant om te beweren dat informatiesystemen geheel veilig zijn. Het frame van

Weick, K. E. and Sutcliffe, K. (2001) Managing the Unexpected: Assuring High Performance in an

veilige informatiesystemen kan er namelijk toe leiden dat organisaties voldaan achterover leunen

Age of Complexity. San Francisco, CA: Jossey-Bass

met als gevolg dat hun sensitiviteit voor informatieveiligheid dramatisch afneemt. Voor overheidsorganisaties betekent deze conclusie wel een grote uitdaging voor hoe ze deze boodschap uitdragen naar hun burgers en bedrijven. Echter, ook daar liggen weer vele kansen. Voor het verhogen van sensitiviteit en het alert reageren zijn de waarnemingen van burgers en bedrijven namelijk cruciaal. Zij zien vaak als eerste dat er iets niet klopt bij een sluis of een belastingaangifte. Hun sensitiviteit moet wel aangemoedigd worden. Noten 1. Met dank aan de waardevolle reveil van Albert Vermue (directeur Unie van Waterschappen) 2. Een deel van deze tekst is afkomstig uit het strategisch onderzoeksprogramma van Wageningen Universiteit met als titel Informational Governance: http://www.wageningenur.nl/ nl/Over-Wageningen-UR/Strategisch-plan/Informatie-gedrag-en-aansturing.htm

244

245

douwe leguit eric warners

Deel 4:

Tot besluit

henk wesseling

reflectie

15.

Hoe blijft het sturen op informatieveiligheid vitaal? douwe leguit

Manager Taskforce BID

eric warners

Beleidsadviseur Taskforce BID

henk wesseling

Bestuurlijk hoofd Taskforce BID

“Tien keer digitaler, betekent honderd keer kwetsbaarder.” Pieter van der Hoog, CISO Nieuwegein

Ruimte voor reflectie We zijn toe aan het slot van deze inspiratiebundel. Hoe helpt deze inspiratiebundel ons bij het sturen op informatieveiligheid? De bundel laat nog eens helder zien dat het werk van de overheidskoepels en organisaties, gesteund door het ministerie van Binnenlandse Zaken en Koninkrijsrelaties (het ministerie van BZK) en de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID), gebaseerd is op diverse impliciete en expliciete keuzes en aannames over het sturen op informatieveiligheid. Dat is inherent aan het hanteren van een leerstrategie en creëert tegelijkertijd behoefte aan en ruimte voor reflectie. Wat kunnen we leren van de opgedane ervaringen? En, veel belangrijker, hoe kan het openbaar bestuur nu het beste verder met het vormgeven van het sturen op informatieveiligheid? De antwoorden die we in dit laatste hoofdstuk formuleren komen mede voort uit de ervaringen opgedaan in de afgelopen twee jaar van de Taskforce BID. Ervaringen die overigens niet zo zeer

Foto: T.W. van Urk / Shutterstock.com

op het conto van de Taskforce BID zijn te schrijven, maar voortkomen uit de diverse personen en organisaties waarmee we in de afgelopen periode samen aan het vraagstuk van informatieveiligheid hebben mogen werken. Niet in de minste plaats zijn we natuurlijk voor deze afsluitende reflectie geïnspireerd door de diversiteit aan inzichten van de auteurs in deze inspiratiebundel.1 Met de redactieraad en een aantal auteurs van de bundel is in een reflectiebijeenkomst van gedachten gewisseld over welke lessen de inspiratiebundel oplevert.

249

Basics en adaptief vermogen

Tegelijk kwam daarbij als centrale les naar voren dat altijd verval van die basics dreigt. We kennen

Informatieveiligheid is een complex onderwerp dat zowel technisch, organisatorisch als bestuur-

die dreiging vanuit andere domeinen, zoals van fysieke veiligheid, financial control, et cetera. De

lijk om deskundig optreden vraagt. Bedreigingen en incidenten veranderen snel van vorm en de

essays in deze inspiratiebundel geven veel inzicht in deze dreiging binnen het domein van informa-

intensiteit en impact van de ontwikkelingen en incidenten is lastig in te schatten. Deze kenmerken

tieveiligheid. Laten we er een drietal benoemen die in de bundel ruim aan bod komen.

leiden tot een bekend sturingsdilemma. Enerzijds gaat het om gericht zijn op de degelijkheid, stabiliteit en het ordelijk leren om informatieveiligheid deskundig tegemoet te kunnen treden. An-

Het lastige organisatieleren

derzijds gaat het om het adaptief vermogen om die snelle en onverwachte ontwikkelingen steeds

Overheden werken nu vooral hard aan het grip krijgen op informatieveiligheid aan de hand van

tegemoet te kunnen treden.

een vaste structuur en een volgordelijkheid in het handelen. Ervaring leert dat dit soort beleidscycli binnen de overheid in het algemeen vaak een lange doorlooptijd hebben. Het onderhouden van de

Om grip te krijgen op de dynamiek van informatieveiligheid hebben organisaties behoefte aan

basics is in zekere zin ook saai werk. Het uitvoering geven aan wachtwoordbeleid, patching, et

vaste grond onder de voeten. De basics van Verplichtende Zelfregulering geeft die vaste grond in

cetera, moet immers binnen iedere organisatie steeds weer opnieuw gebeuren. Juist het repetitieve

de vorm van structuur en brengt ook volgorde aan in het handelen. Uitgangspunt voor die vaste

karakter van deze uitvoering maakt het een lastige opgave voor organisaties. De kans is reëel dat

grond vormt de normatiek voor informatieveiligheid als kaderstelling, de zogenaamde baselines

de basics snel naar de achtergrond verdrongen worden door nieuwe prioriteiten en behoeften. Mo-

informatiebeveiliging, verankerd in de control cyclus van de eigen organisatie, gelardeerd met

gelijk zelfs nog voordat de basics binnen de overheid überhaupt op orde zijn. Diverse bestuurders

goed toezicht en het leren van tekortkomingen. Vanuit die opvatting, getypeerd als het ‘leren en

en topmanagers hebben (terecht) aangegeven dat nu pas ‘het echte werk’ gaat beginnen; het telkens

verankeren’ is er de afgelopen jaren gewerkt aan organisatieleren. Die basics voorkomen dat or-

weer vertalen van ervaringen en bevindingen aangaande nieuwe ontwikkelingen naar concrete han-

ganisaties volledig verdwalen in de vele vormen en facetten van informatieveiligheid. De basics

delingsperspectieven. Daarmee wordt ook aangegeven voor welke uitdagingen we staan om in de

geven organisaties de benodigde aanknopingspunten voor het effectief (en efficiënt) sturen op

komende periode dit organisatieleren verder te ontwikkelen.

informatieveiligheid. Bovendien acteren overheden in een politiek-bestuurlijke omgeving. Het functioneren van het beTegelijkertijd is adaptief vermogen nodig om in te kunnen spelen op de snelle en onverwachte

stuur wordt politiek gecontroleerd en dat levert altijd het dilemma van ‘afrekenen’ versus ‘ruimte

ontwikkelingen. Dat vereist organisatorische flexibiliteit en ruimte.2 Dat vereist ook flexibiliteit

voor leren en verbeteren’. Routine, taaiheid en politieke gevoeligheid maken het lastig om het

in samenwerking, terwijl samenwerken in een stabiele situatie vaak al zo moeilijk is. Dat vereist

organisatieleren in al zijn aspecten krachtig te organiseren.

het samen met elkaar vormen van kennisfora en (snel) van elkaar kunnen leren. Dat vereist het voortdurend scherp houden van iedereen binnen de organisatie en het niet volledig laten opgaan in

Bestuurlijke aandacht lastig vasthouden

de organisatorisch control–routine om tot afvinklijsten te vervallen.

In de afgelopen periode is het gelukt om in nauwe samenwerking met de koepelorganisaties informatieveiligheid overheidsbreed te agenderen als dienstverleningsvraagstuk. Tegelijkertijd zien

250

Basics en de dreiging van verval

we dat het een lastige opgave is om informatieveiligheid blijvend te verankeren op de bestuur-

De eerste les die centraal stond in de reflectiebijeenkomst van de redactieraad en een aantal auteurs

lijke agenda. Er is vooral aandacht voor informatieveiligheid na een incident. De ontwikkeling

luidde: hoe kunnen we dit dilemma van gerichtheid op degelijke basics en ruimte voor adaptiviteit

van de E-Overheid wint aan aandacht en verovert steeds meer een plek op de agenda. Maar als

hanteerbaar maken? Die vraag is des te dringender, omdat die basics nog lang niet op orde zijn.

I-ontwikkelingen al de bestuurlijke aandacht krijgen, dan gaat die eerder uit naar innovatie met

Op het moment van schrijven zijn de basics van Verplichtende Zelfregulering binnen alle over-

ICT als oplossing voor het verbeteren van de dienstverlening of het vergroten van de efficiency

heidslagen nog volop in ontwikkeling. Bovendien geldt dat de basics permanent bijgehouden en

binnen de organisatie. De afhankelijkheid van ICT en informatisering, en de daaraan verbonden

onderhouden dienen te worden. Ook als Verplichtende Zelfregulering volledig is geïncorporeerd

informatieveiligheidsrisico’s, wint weliswaar ook aan aandacht, maar lijden aan het specifieke

in alle organisaties, vraagt het van overheden daarmee blijvende investeringen. Niet alleen in aan-

probleem van veiligheidsbewustzijn, zoals dat in de bundel is geanalyseerd. Het komt en gaat

dacht, maar ook in mensen en (financiële) middelen. De overheden hebben als structurele opgave

met incidenten, media-aandacht en optredende belangengroepen. Bij de reflectiebijeenkomst

om hun capaciteiten telkens op peil te houden, op een manier die hen in staat stelt proactief in te

werd aangegeven dat die specifieke problematiek ook nog gevoed wordt door ‘een gevoel van

kunnen inspelen op het complexe en veranderlijke informatieveiligheidsvraagstuk. In de genoem-

onbehagen‘. Bestuurders en managers zien informatieveiligheid in het algemeen als een complex

de reflectiebijeenkomst was dan ook de nadruk op ‘de basis op orde’ duidelijk te horen.

en technisch onderwerp, waarvoor (nog) onvoldoende handelingsperspectieven bestaan. Dit is

251

ook niet gek: tot voor kort ontbrak het immers zelf aan de basics om hierop te kunnen sturen. Be-

Inhoud stuurt de beweging: organiseren bestuurlijke handelingsperspectieven

stuurders en topmanagers zullen de neiging hebben prioriteit te geven aan onderwerpen waarbij

Onder meer de essays over agendering geven aan hoe ingrijpend de ontwikkelingen zijn die

zij zich een stuk comfortabeler voelen.

informatieveiligheid raken. Fascinerende verandering van dienstverlening en verandering van machtsverhoudingen, waaronder de relaties met leveranciers en met georganiseerde criminaliteit.

Basis voor samenwerking kent haar beperkingen

Als dat alles geen bestuurlijke belangstelling wekt, wat dan wel, zo zou men kunnen vragen.

Samenwerking is essentieel voor het functioneren van de basics van Verplichtende Zelfregule-

Dat is wellicht iets te kort door de bocht. Het vereist ook dat een paar zaken echt op het netvlies

ring. Overheden op alle niveaus en uit alle overheidslagen zijn afhankelijk van elkaar als het gaat

staan. Bijvoorbeeld een goed besef van wat risico’s nu echt zijn, zoals die in het laatste deel van

om vraagstukken die het niveau van organisaties en overheidslagen ontstijgen. Uit de bundel

de bundel als leerperspectief aan de orde komen.5 Fascinerend hoe daar het begrip risico door

blijkt dat de afgelopen periode hiervoor een brede basis voor samenwerking is ontstaan. De

verschillende auteurs duiding krijgt. Informatieveiligheid blijft desondanks geen gemakkelijk

huidige basis kent echter beperkingen, die de totstandkoming en het onderhoud van basics be-

onderwerp. Bestuurlijke belangstelling vraagt dan ook om het ‘framen’ op een wijze die ruimte

dreigen.

biedt om ook bestuurlijke handelingsperspectieven te formuleren. Ook daar geeft de bundel aangrijpingspunten voor. Generieke les die wij destilleren is om informatieveiligheid te positioneren

De eerste beperking is dat de huidige arena’s voor samenwerking vaak incompleet zijn: de risico-

als onderdeel van het succes in plaats van een beperking van de vooruitgang.6 En vooral ook: het

dragers van ICT-projecten of andere vormen van informatisering ontbreken in veel gevallen aan

gaat bij informatieveiligheid niet alleen om bestuurders. Juist ook het dagelijkse handelen van

de onderhandelingstafel. Waardoor consequenties van falen slecht zichtbaar zijn en nauwelijks

een ieder binnen de organisatie moet in het licht van informatieveiligheid scherp blijven.7

ter sprake komen in de besluitvormingsfase. Om tot samenwerking te komen die Verplichtende Zelfregulering ondersteunt, is het zaak om een verbreding van de arena te realiseren door ook te

De digitale ontwikkelingen bieden dus alle inhoudelijke basis om informatieveiligheid in vitale

kijken naar de risicodragers buiten de eigen organisatie: van andere overheidsorganisaties, van

leerprocessen verder een plek te geven. Dat vereist wel een formulering in termen van een be-

burgers en van belangengroepen.

stuurlijk handelingsperspectief. Hoe dat te organiseren? Uiteraard is er de reguliere cyclus en ui-

3

teraard is er inventiviteit en aandacht vereist van het management om met het bestuur in dialoog Ook als het lukt om deze verbreding te organiseren, gaat de samenwerking niet vanzelf. Sa-

te gaan, maar het vraagstuk was nu juist hoe daar de vitaliteit te versterken.

menwerken kost tijd, geld en menskracht. Heel makkelijk wordt samenwerken als de oplossing gezien voor het bereiken van meer efficiëntie of betere dienstverlening. Deze doelen zijn echter

Drie hoofdnoemers voor perspectief

vaak minder gemakkelijk te realiseren dan op voorhand bedacht. Er moet in de samenwerking

De bundel geeft een aantal richtingen aan om die vitaliteit te organiseren, welke te vatten zijn

ook rekening worden gehouden met enkele paradoxale mechanismen, die het succes kunnen be-

onder een drietal hoofdnoemers:

perken.4 Denk aan de extra inspanningen die het samenwerken vraagt en het feit dat partijen niet snel exact dezelfde doelen en prioriteiten hebben. Dit kan ervoor zorgen dat de resultaten van samenwerking tegenvallen of soms helemaal niet behaald worden. Samenwerking aangaande in-

Samenwerking opnieuw

formatieveiligheid vergt naast een verbreding dan ook een verdere verdieping om daadwerkelijk effectief en efficiënt te kunnen zijn.

De eerste hoofdnoemer is het organiseren van vruchtbare samenwerkingsverbanden. Zoals gesteld is samenwerking een absoluut vereiste, maar ook niet gemakkelijk. Dus concentreer samen-

Opzoek naar vitale Verplichtende Zelfregulering

werken daar waar samenwerking direct perspectief geeft. Dat is waar grote voordelen te behalen

Twee centrale lessen dus: er is de noodzaak basics op orde te brengen met de dreiging van verval

zijn door niet alleen het wiel opnieuw te willen uitvinden. De Taskforce BID kon bijvoorbeeld

èn er is de noodzaak basics op orde te houden met een even grote noodzaak van adaptief vermo-

met beperkte inspanning producten uit de ene overheidslaag voor de andere overheidslaag ge-

gen. De lessen zijn ook als vraag te formuleren. Hoe is die noodzaak van basics op orde te verta-

schikt maken.

len in een vitaal leerproces waarin zowel het cyclisch verbeteren, als het irreguliere adaptieve tot

252

hun recht kunnen komen? In deze inspiratiebundel worden hiervoor verschillende aanwijzingen

Maar evengoed zijn er voordelen waar partijen elkaar hard nodig hebben. Ook hier zijn voor-

gegeven. Centraal staat daarin volgens ons het formuleren van een bestuurlijk handelingsper-

beelden te over, maar de nadruk in de bundel op publiek – privaat en betrekken van burger is wel

spectief.

heel indringend.

253

Wellicht is het samenwerken op inhoudelijk terrein nog wel het belangrijkste. Niets is leuker

Dialoog is van ons allemaal

dan samenwerking die ergens over gaat en niets is vervelender dan samenwerking die in rondjes

Het vitaal houden vraagt een vierde hoofdnoemer: het voortgaande inspirerende gesprek tussen

draait. Voor de Taskforce BID bleek dat bijvoorbeeld op het terrein van normatiek waar een in-

de betrokken overheidslagen, maar ook met de wetenschap en het bedrijfsleven. De energie en

spirerende samenwerking zich ontwikkelde over de overheidslagen heen.

beschikbare (personele en financiële) middelen voor het werken aan informatieveiligheid zijn nu eenmaal schaars. Het is zaak elkaar scherp te houden op innovatie en vruchtbare samenwerking. Daar kan de Taskforce BID wel bij helpen, maar heel veel effectiever is een netwerk van bestuur-

Slimme leerstrategieën

ders en managers dat elkaar ontmoet en elkaar simuleert in het gebruiken van opportuniteit. Dat is geen specifieke verantwoordelijkheid van één overheidslaag; juist de gezamenlijke verantwoorde-

Met die inhoudelijke basis hangt de tweede hoofdnoemer samen: het samen organiseren van

lijkheid telt daar. Wellicht een jaarlijkse lezing en diner wisselend per overheidslaag als basis voor

slimme leerprocessen. Door toekomstige uitdagingen centraal te stellen, zowel vanuit de tech-

zo’n netwerk met dialoog en bijpassende initiatieven?

niek, de samenleving en het openbaar bestuur, en daar bijvoorbeeld gezamenlijk handreikingen voor te ontwikkelen. Denk daarbij aan ontwikkelingen zoals Smart Cities en Big Data. Vanuit diezelfde lijn is de afgelopen periode gewerkt aan handreikingen voor ‘Cloud’ en ‘Goed Opdrachtgeverschap’. Ook het experimenteel beproeven van (nieuwe vormen van) informatieveiligheid in Living Labs en Cyberoefeningen is een suggestie die tot de verbeelding spreekt. En op organisatieniveau zou oefenen in weerbaarheid en ‘veerkracht’ een terugkerend punt kunnen zijn. Kortom, aan goede ideeën geen gebrek.

Slim organiseren Een derde hoofdnoemer is dat het verder werken aan de reguliere organisatie gewoon doorgaat, maar wel slim en zo efficiënt mogelijk. Vitaal vraagt om permanent onderhouden op stelsel-, koepel- en organisatieniveau. De vitaliteit op organisatieniveau is vooral afhankelijk van de mensen die het moeten doen. Dit zijn niet (alleen) de mensen die hun ziel en zaligheid leggen in het realiseren van de basics, maar vraagt juist ook om bestuurders én managers die zich verantwoordelijk voelen voor de succesvolle digitalisering van hun organisatie en inzien dat informatieveiligheid hiervoor een voorwaarde is. Die daarvoor de samenwerking in hun eigen organisatie en met anderen opzoeken. De inspiratie op organisatieniveau kan sterk impulsen krijgen door op koepelniveau een vaste basis te bieden, die ruimte biedt om trends te duiden en nieuwe handelingsperspectieven uit te proberen. De koepelorganisaties hebben de afgelopen periode die basis ontwikkeld, soms ook over de koepelorganisaties heen. Het in stand houden van een breed koepeloverleg en een mogelijk bijbehorende programmering kan de komende jaren het verschil maken. Zo’n programmering heeft weer alle baat bij het op stelselniveau voorzetten van nu gestarte ontwikkelingen van overleg over normatiek, wet- en regelgeving, transparantie bieden en gemeenschappelijke voorzieningen. Om het in één zin te zeggen, slimme leerstrategieën en vruchtbaar samenwerken komen juist tot stand door de reguliere organisatie op de verschillende niveaus in het stelsel verder te versterken. Vitaal wordt dan regulier.

254

1 In deze reflectie zijn diverse referenties aan de voorgaande essays terug te vinden; tevens gaat het om door meer auteurs gefundeerde en/of gedeelde inzichten te verkrijgen. Een algemene referentie naar alle voorgaande essays is dan ook op zijn plaats. Alleen waar exclusief gebruik is gemaakt van de inzichten van één auteur hebben we een directe verwijzing opgenomen. 2 Termeer besteedt in haar essay ruim aandacht aan het belang van adaptiviteit en hoe binnen de organisaties hiervoor de condities kunnen worden gerealiseerd. 3 Zie hierover respectievelijk het essay van Prins, van Van Eeten en Van Munnichs en anderen in deze bundel. 4 Van Twist en Van der Steen gaan hier uitgebreid op in, in hun bijdrage over samenwerking. 5 Zie bijvoorbeeld de bijdragen van in ’t Veld en Helsloot. 6 Zie ook de slotsuggestie van Thaens en Zouridis in hun essay; zie ook het essay van De Bruijn over framen. 7 Zie het essay van Nuijten en Van Twist voor concrete suggesties.

255

Colofon Deze bundel Informatieveiligheid is tot stand gekomen dankzij de inspanningen van:

De leden van de redactieraad: Guus Bronkhorst, MT-lid directie Burgerschap & Informatiebeleid, Ministerie van Binnenlandse Zaken & Koninkrijksrelaties Marian Grobbink, lid Raad van Bestuur, Zorginstituut Nederland Jan Fraanje, gemeentesecretaris, Boxtel Philippe Raets, gemeentesecretaris, Rotterdam Anneke van Zanen-Nieberg, algemeen directeur Auditdienst Rijk Albert Vermuë, directeur Unie van Waterschappen Ank Bijleveld-Schouten, commissaris van de Koning, Provincie Overijssel

De eindredacteurs: Sonja Kok, communicatieverantwoordelijke en woordvoerder, Taskforce BID Douwe Leguit, manager, Taskforce BID Eric Warners, beleidsadviseur, Taskforce BID Henk Wesseling, bestuurlijk hoofd, Taskforce BID

© 2014, Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID) Uitgegeven in eigen beheer ([email protected]) Alle rechten voorbehouden. Niets uit deze uitgave mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand en/of openbaar gemaakt in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen of op enige andere manier zonder voorafgaande schriftelijke toestemming van de uitgever. Aan de inhoud van deze uitgave kunnen geen rechten worden ontleend. De Taskforce BID is zich bewust van haar verantwoordelijkheid een zo betrouwbaar mogelijke uitgave te verzorgen. Niettemin kan de Taskforce BID geen aansprakelijkheid aanvaarden voor eventueel in deze uitgave voorkomende onjuistheden, onvolledigheden of nalatigheden. De Taskforce BID aanvaardt ook geen aansprakelijkheid voor enig gebruik van voorliggende uitgave of schade ontstaan door de inhoud van de uitgave of door de toepassing ervan.

256

inspiratie informatieveiligheid

inspiratie informatieveiligheid

Een essaybundel voor bestuurders en topmanagers

Voor overheid, bedrijfsleven en wetenschap

Gericht op inspiratie, innovatie en een blijvende dialoog

Op het vlak van informatieveiligheid

www.taskforcebid.nl

Inspiratiebundel_Taskforce_Omslag.indd 1

10-10-14 10:34